Firestore 规则多组织多用户访问权限列表数据

Question

我正在尝试为具有以下根集合的新 Firestore 项目设置规则集：

用户

组织

在 users 下，我们有 users/userid/ar/organisationid（ar 表示访问权限）

本文档应定义用户对给定组织的访问权限。关键是许多用户可以访问此 saas 应用程序中的一个或多个组织。

我希望再次检查该组织下的所有文档和所有子集合的访问权限。

这非常适合获取和写入，但数据列表会导致访问错误，我发现限制列表数据的唯一方法是在列出用户 ID 的文档上添加一个数组，并在此客户端上进行过滤边。这不是一个可用于生产的解决方案，因为会有很多包含许多文档的子集合。

有什么建议吗？我可以通过其他方式使列表适用于 Firestore 吗？有没有更好的方法来构建数据，或者我遗漏了什么？

我能看到的唯一其他方法是使用 firestore 函数来检查服务器端的列表，但随后我们在 @angular/fire 中丢失了很棒的东西。

过滤客户端的安全性不够。

谢谢。

目前的规则：

service cloud.firestore {
  match /databases/{database}/documents {

    match /users/{userId} {
      allow read, write: if request.auth.uid == userId;
      match /ar/{organisationDoc} {
        allow read: if request.auth.uid == userId;
        allow write: if false;
      }
    }     

    // read
    match /organisations/{oId} {
      allow get: if exists(/databases/$(database)/documents/users/$(request.auth.uid)/ar/$(oId));
      allow list: if request.auth.uid in resource.data.users;

      match /{all=**} {
        allow get: if exists(/databases/$(database)/documents/users/$(request.auth.uid)/ar/$(oId));
        allow list: if request.auth.uid in resource.data.users;
      }
    }

    // write
    match /organisations/{oId} {
      allow create: if get(/databases/$(database)/documents/users/$(request.auth.uid)/ar/$(oId)).data.create == true;
      allow update: if get(/databases/$(database)/documents/users/$(request.auth.uid)/ar/$(oId)).data.update == true;
      allow delete: if get(/databases/$(database)/documents/users/$(request.auth.uid)/ar/$(oId)).data.delete == true;

      match /{all=**} {
        allow create: if get(/databases/$(database)/documents/users/$(request.auth.uid)/ar/$(oId)).data.create == true;
        allow update: if get(/databases/$(database)/documents/users/$(request.auth.uid)/ar/$(oId)).data.update == true;
        allow delete: if get(/databases/$(database)/documents/users/$(request.auth.uid)/ar/$(oId)).data.delete == true;
      }
    }

  }
}

Answer 1

See documentation

使用自定义声明和安全规则控制访问

Firebase Admin SDK 支持在用户上定义自定义属性 帐户。这提供了实现各种访问的能力 Firebase 中的控制策略，包括基于角色的访问控制 应用。这些自定义属性可以为用户提供不同级别的 访问（角色），在应用程序的安全规则中强制执行。

Answer 2

您遇到的问题是由“安全规则不是过滤器”这一事实引起的，请参阅此文档item。

换句话说，您的查询必须过滤用户具有（读取）访问权限的组织，例如，就像您对“列出usersids 的文档上的数组”所做的那样。您还可以在用户文档中将组织列表作为数组。

使用云函数“检查服务器端的列表”并（如果我理解正确）基于此云函数调用的结果构建查询确实不理想。

但是，当您在users/userid/ar/organisationid 下创建/修改/删除organisationid 文档时，您可以使用云函数自动填充/修改列出userids（或organizations）的数组。

---

请注意，文档说：

此行为适用于检索一个或多个文档的查询 从集合而不是单个文档检索

正如您所提到的，这就是您的规则适用于 get() 方法的原因。