Firebase 实时数据库安全规则保护用户数据

Question

我正在开发一个我想在 firebase 实时数据库上运行的项目。我用这种格式创建了一个数据库设置：

   {
  "Horses" : {
    "description" : "",
    "id" : "",
    "name" : "",
    "uid" : "testx"
  },
  "images" : {
    "full_path" : "",
    "horse_id" : "",
    "id" : "",
    "thumbnail_path" : "",
    "uid" : ""
  },
  "videos" : {
    "full_path" : "",
    "horse_id" : "",
    "id" : "",
    "thumbnail_path" : "",
    "type" : "",
    "uid" : ""
  }
}

我的安全规则如下所示：

    {

  "rules": {
    "Horses":{
      ".read": true,
        ".write": false,

        "$uid":{
            ".read": true,
                ".write": "$uid == auth.uid"
        }

    },
    "videos":{
      ".read": true,
        ".write": false,

        "$uid":{
            ".read": true,
                ".write": "$uid == auth.uid"
        }

    },
    "images":{
      ".read": true,

        "$uid":{
            ".read": true,
                ".write": "$uid == auth.uid"
        }

    },
  }

}

我正在尝试归档每个人都可以阅读“马”、“图像”和“视频”中的详细信息，但只有经过身份验证的用户才能将条目添加到“马”、“图像”和“视频”中，如果它们属于他们自己（由 firebase auth 提供的用户 ID 检查）。

我的第一个问题是：我是否应该将“图像”和“视频”作为“马”的子对象包含在内？如果我可以一次为 Horse 编写一个读写规则，它会级联到其他规则，那就更好了。

我的第二个问题是：即使身份验证设置为与我写入的数据相同的 uid，我也无法将集合写入马或图像。例如，我似乎必须将我的请求发送到horses/[UID-HERE]。我如何编写将我描述的行为归档的规则？

感谢您的帮助！

Answer 1

首先：在 Horses 中嵌套视频和图像取决于您的使用情况。当它们相关时，您可以嵌套这些值，例如：

社交网站上的帖子将具有以下结构：

siteData:{
postid:{
   postTitle: value,
   videos : {
    "full_path" : "",
    "horse_id" : "",
    "id" : "",
    "thumbnail_path" : "",
    "type" : "",
    "uid" : ""
  },
    "images" : {
    "full_path" : "",
    "horse_id" : "",
    "id" : "",
    "thumbnail_path" : "",
    "uid" : ""
  }
}
}

我们在这里嵌套了它们，因为它们与帖子直接相关。

另一种情况是，当我们只想存储网站上的所有图像和视频时，结构将是：

  siteData:{
  "images" : {
    "full_path" : "",
    "horse_id" : "",
    "id" : "",
    "thumbnail_path" : "",
    "uid" : ""
  },
  "videos" : {
    "full_path" : "",
    "horse_id" : "",
    "id" : "",
    "thumbnail_path" : "",
    "uid" : ""
  },
  posts:{
  somePostId:{}
  }
  }

您在这里看到视频和图片没有嵌套在帖子中。

第二：

检查用户 ID：

"images":{
  ".read": true,
  "$uid": {
      ".read": true,
      ".write": "auth.uid == $uid"
       }
    }

基本上，这里的data 将引用该规则处理的引用处的数据。

你可能想看看这个：https://gist.github.com/codediodeio/6dbce1305b9556c2136492522e2100f6