Возможность только для текущего подключенного (не аутентифицированного) пользователя и администратора читать и писать в определенном месте

Это похоже на классическую проблему XY (т. актуальной проблемы).

Если я правильно понимаю ваши ограничения, основная проблема заключается в том, что вы не хотите иметь прямого подключения к своему серверу. В настоящее время мы используем эту модель с Firebase, и я могу придумать два простых шаблона для достижения этой цели.

1) Храните данные по пути, который невозможно угадать

Создайте UUID или GID или, если мы не говорим здесь о безопасности на уровне банка, просто обычный идентификатор Firebase (firebaseRef.push().name()). Затем пусть сервер и клиент взаимодействуют по этому пути.

Это позволяет избежать необходимости в правилах безопасности, поскольку URL-адреса невозможно угадать или они достаточно близки к нему, в случае идентификатора Firebase для обычного использования.

Пример клиента:

var fb = new Firebase(MY_INSTANCE_URL+'/connect');
var uniquePath = fb.push();
var myId = uniquePath.name();

// send a message to the server
uniquePath.push('hello world');

С сервера просто следите за connect, каждый подключающийся — это новый клиент:

var fb = new Firebase(MY_INSTANCE_URL+'/connect');
fb.on('child_added', newClientConnected);

function newClientConnected(snapshot) {
   snapshot.ref().on('child_added', function(ss) {
       // when the client sends me a message, log it and then return "goodbye"
       console.log('new message', ss.val());
       ss.ref().set('goodbye');
   });
};

В ваших правилах безопасности:

{
   "rules": {
       // read/write are false by default

       "connect": {
          // contents cannot be listed, no way to find out ids other than guessing

          "$client": {
             ".read": true,
             ".write": true
          }
       }
   }
}

2) Используйте аутентификацию Firebase

Вместо того, чтобы тратить столько усилий, чтобы избежать аутентификации, просто используйте стороннюю службу, например Встроенная аутентификация Firebase или Singly (которая поддерживает Firebase). Это лучшее из обоих миров, и модель, которую я использую в большинстве случаев.

Ваш клиент может аутентифицироваться напрямую в одной из этих служб, никогда не касаясь вашего сервера, а затем аутентифицироваться в Firebase с помощью токена, что позволяет вступить в силу правилам безопасности.