了解 Cloud Firestore 安全规则的限制

Question

我正在为我的 Firestore 数据库编写安全规则，但我可能编写了太多检查，授权自动失败。

例如特定路径的规则是

service cloud.firestore {
  match /databases/{database}/documents {
    match /pending/{userId} {
      match /rate/{vendorId}/events/{eventId}/ratings/{rateId} {
        allow write: if request.auth.uid == userId
            && exists(/databases/$(database)/documents/vendors/$(vendorId)) // The vendor must exist
            && exists(/databases/$(database)/documents/users/$(userId)/subscriptions/$(vendorId)) // The user must be subscribed to the vendor
            && exists(/databases/$(database)/documents/vendors/$(vendorId)/events/$(eventId)) //  The event must exist
            && !exists(/databases/$(database)/documents/vendors/$(vendorId)/events/$(eventId)/ratings/$(userId)) // The user must not have already voted for the event
      }
    }
  }
}

这些规则在写入 /pending/{userId}/rate/{vendorId}/events/{eventId}/ratings/{rateId}

时适用

删除一个或多个规则组合会使一切恢复正常。 我在文档中阅读了关于 10 个开发人员定义的函数 here 的限制，但存在和 get 被列为服务定义，不应计算在内。就算有，这里我也只用了五个。

有没有更有效的方法来检查相同的字段？如何计算达到 10 个函数限制的单行数？

谢谢

Answer 1

此处的 Firebase PM：目前，我们将给定规则评估中的 get() 和 exists() 调用次数限制为三个，这就是为什么您在添加第四个后会看到行为失败的原因。我会确保适当更新文档以包含此信息。

编辑（2018 年 4 月 2 日）：这些限制现已记录在案：https://firebase.google.com/docs/firestore/security/rules-structure#security_rule_limits

编辑（2018 年 5 月 14 日）：我们将限制增加到 10：https://firebase.google.com/docs/firestore/security/rules-structure#security_rule_limits

get() 和 exists() 调用比“正常”规则评估的计算成本更高，我们希望确保严格限制评估时间，以免减慢传入请求。我很确定我们可以将数字增加到 3 以上，但请注意，我们将查找所有这些键/值，并且评估每个请求可能需要更长的时间/更多的成本。

请注意，在这种特定情况下，您可以通过三个调用来做到这一点：

service cloud.firestore {
  match /databases/{database}/documents {
    match /pending/{userId} {
      match /rate/{vendorId}/events/{eventId}/ratings/{rateId} {
        // Only allow a document to be created
        allow create:
            // The user must not have already voted for the event
            if request.auth.uid == userId
            && request.auth.uid == rateId
            // The vendor must exist
            && exists(/databases/$(database)/documents/vendors/$(vendorId)) 
            // The user must be subscribed to the vendor
            && exists(/databases/$(database)/documents/users/$(userId)/subscriptions/$(vendorId)) 
            //  The event must exist
            && exists(/databases/$(database)/documents/vendors/$(vendorId)/events/$(eventId));
        // Not necessary unless you want to allow updates
        allow update: if ...;
      }
    }
  }
}