Firebase安全规则-从Firebase函数写入

我正在尝试实施正确的Firebase安全规则，但遇到了一个具有挑战性的问题。我有公开的列表，所有人都可以查看，除了列表作者之外，任何人都不能删除或编辑。当有人（通过PayPal插件）购买一个给定的清单时，我需要写入该清单，将其状态更改为“已售出”。本质上，这就像第三方（不是列表作者）必须写入给定的列表

以下是我到目前为止的规则：

"listings": {
    ".read": "auth.provider === 'facebook'",
    "$listingID": {
          ".write": "auth.provider === 'facebook' && ((!data.exists() && newData.exists()) || root.child('listings/'+$listingID+'/UID').val() === auth.uid)"
    }
}

我有一种感觉，我需要从我的后端（Firebase函数）向Firebase写入，但我不确定安全规则将如何运作，因为仍然是买方（第三方），根据其请求，我们需要将新状态写入listing节点，该节点仅由作者编辑

对于如何应对这种情况的任何建议/建议，我们将不胜感激

非常感谢