Firebase 简单博客（与安全规则混淆）

Question

我正在尝试基于 React + ReactFire 创建一个简单的待办事项或博客系统。

在阅读了一个小时的 firebase 教程后，对配置 firebase 安全规则感到困惑。

保存元素的代码：

this.props.itemsStore.push({
    text : this.state.text,
    done : false,
    user : this.props.user.uid
})

一切正常，但我如何才能获得所有记录仅拥​​有但授权用户？

这条规则不起作用：

  "rules": {
    "items" : {
         ".write" : "auth !== null",
         "$item" : {
            ".read": "data.child('user').val() == auth.uid"
         }
    }
  }

似乎没有办法只为一个用户获取所有记录，使用安全规则，而不是这个，我应该使用过滤器之类的东西。但同样，我不知道如何在 ReactFire 中过滤元素，并且在手册中没有任何信息。

例如它在 Parse 中是如何工作的 http://i.stack.imgur.com/l9iXM.png

Answer 1

Firebase 安全模型有两个常见的缺陷：

1. permissions cascade: 授予特定级别的读取或写入权限后，您无法在较低级别取消此权限

2. rules are not filters：（这本质上是先前陷阱的结果）您不能使用安全规则为特定用户返回不同的子集。用户可以访问某个节点，或者他们没有访问该节点的权限。

您似乎正陷入第二个陷阱。虽然用户可以访问他们作为user 的每条特定消息，但他们无法查询更高级别的items 节点，因为他们没有对它的读取权限。

如果您想保护特定用户的消息/待办事项列表，则需要为该特定用户存储该数据。

items_per_user
    $uid
        $itemid: true

这在 NoSQL 数据库中很常见，通常称为非规范化。请参阅 Firebase 网站上的 this article called "denormalization is normal"。就 Firebase API 而言，它有点过时了，但关于非规范化的架构原则仍然适用。

要为用户显示项目，您可以：

ref.child('items_per_user')
   .child(ref.getAuth().uid)
   .on('child_added', function(snapshot) {
       ref.child('items')
          .child(itemId.key())
          .once('value', function(itemSnapshot) {
               console.log(itemSnapshot.val());
          });
   })

许多刚接触 Firebase 的开发人员认为内部循环太慢而无法加载他们的数据。但是 Firebase 在处理多个请求时非常有效，因为它只为每个客户端打开一次连接，并将所有请求传递到内部循环中。

Answer 2

请记住，规则不是过滤器。它们允许根据标准访问节点。

这是一个简单的结构示例，其中用户 0 和 1 在其节点中存储了文本数据。

数据结构

ToDo
  a_user_id_0
    text: "some text"
    done: yes
  a_user_id_1
    text: "another text"
    done: no

规则

在此示例规则中，用户只能从 ToDo 节点中属于他们的节点读取/写入，因此路径 $user_id 将等于他们的 auth.id。它假定用户也已通过身份验证。

"ToDo": {
   "$user_id": {
      ".read": "auth != null && $user_id == auth.uid",
      ".write": "auth != null && $user_id == auth.uid"
   }
 }

如果 user_0 已通过身份验证并尝试从 a_user_id_1 节点读取/写入数据，则会失败。