允许使用用户级令牌机密更新内容

Question

我想允许通过firebase restful API更新文档，并使用我在创建该文档时生成的令牌，该令牌随后可供该内容的创建者使用。 所有用户都可以阅读该文档，但只有提供写入令牌的用户才能更新我无法理解所有细节。所以......

1. 用户（我的firebase应用）在documents/-Kfhcn34324bfjdskj2
创建内容
2. 作为该文档创建过程的一部分，会生成并存储令牌..可能在documents/-Kfhcn34324bfjdskj2/secrets
3. 现在可以由-Kfhcn34324bfjdskj2的所有者发出PATCH请求，因为他们可以查看secrets的内容，获取令牌，然后点击看起来像这样的网址......

name.firebaseapp.com/documents/-Kfhcn34324bfjdskj2.json?token=hfjskdhfsdhfj23h4234234324j324kh

任何用户仍然可以点击..

name.firebaseapp.com/documents/-Kfhcn34324bfjdskj2.json

..并阅读本文件。

我的问题的根源围绕这个基本的令牌身份验证过程。这可能吗？