新規ログインでデータを作成したいがRealtime Databaseのルールの作り方がわからない

Question

{
  /* Visit https://firebase.google.com/docs/database/security to learn more about security rules. */
  "rules": {
    "users": {
      "$uid": {
    ".read": "$uid === auth.uid",
    ".write": "$uid === auth.uid"
        }
    }
  }
}

これで自身のデータのみを読み書きできますが、初めてアプリを起動したとき、上のルールでは"users"下にユーザーファイルを作ることができません。

新規ログインで"$uid"を作りたいのですが、どのようにルールを指定すればいいのでしょうか。

そもそも全部trueにしちゃえば楽なのですが、なぜそれは勧められないのでしょうか。
悪意あるユーザー(もしくは意図せず)は、どのようにデータを閲覧・編集することができるのでしょうか。