如何使用 Firebase 安全规则创建公共/私人用户配置文件？

Question

{
  "rules": {
       "users": {
            "$uid":{ 
                 //Private whatever under "uid" but Public is exposed
                 ".read": "auth != null && auth.uid == $uid",
                 ".write": "auth != null && auth.uid == $uid",

                 "public": { ".read": "auth != null" }
                 }
               }
            }
}

• 我创建了这些规则来让用户公开/私人档案
• “users/{uid}/public”配置文件应该可供任何经过身份验证但无法访问数据的用户访问“用户/uid”

这是存储在我的 firebase 数据库中的一些虚假数据。

{
  "users" : {
    "YFIIAgwa2kaannrXjwvSZmoywma2" : {
      "Name:" : "Example 1",
      //This public child should be accessible by 
      //"Example 2" but cannot know the name of 
      // this user
      "public" : {
        "email" : "example1@gmail.com"
      }
    },
    "YgSfSzPzxLbyDL17r6P9id2cdvH2" : {
      "Name:" : "Example 2",
      //This public child should be accessible by 
      //"Example 1" but cannot know the name of 
      // this user
      "public" : {
        "email" : "example2@gmail.com"
      }
    }
  }
}

我想知道这是否是防止任何用户访问用户关键信息的可靠方法！无论如何我可以通过使用验证来改善这一点吗？我愿意接受你们的任何建议。我想为我的应用程序创建最好、最简单的安全规则。

Answer 1

您绝对可以使用您当前的数据结构保护对私有和公共数据的访问。

但您可能在某个时候想要的一个用例是显示所有用户的公共信息列表。使用您当前的数据结构是不可能的，因为Firebase's security model cannot be used to filter data。有关此问题的最佳答案，请参阅Restricting child/field access with security rules。

大多数开发人员将公共数据和私有数据拆分为完全独立的子树：

{
  "users" : {
    "YFIIAgwa2kaannrXjwvSZmoywma2" : {
      "Name:" : "Example 1",
    },
    "YgSfSzPzxLbyDL17r6P9id2cdvH2" : {
      "Name:" : "Example 2",
    }
  },
  "public_profiles": {
    "YFIIAgwa2kaannrXjwvSZmoywma2" : {
      "email" : "example1@gmail.com"
    },
    "YgSfSzPzxLbyDL17r6P9id2cdvH2" : {
      "email" : "example2@gmail.com"
    }
  }
}

然后您可以通过以下方式保护访问：

{
  "rules": {
     "users": {
        "$uid":{ 
             ".read": "auth != null && auth.uid == $uid",
             ".write": "auth != null && auth.uid == $uid",
        }
     },
     "public_profiles": {
        ".read": "auth != null",
        "$uid":{ 
             ".write": "auth != null && auth.uid == $uid",
        }
     }
  }
}

现在任何经过​​身份验证的用户都可以收听/public_profiles，这意味着您可以轻松地显示这些配置文件的列表。

Answer 2

嗯，（重新）构建数据库以便每个用户拥有一个公共和一个私有字段不是更容易吗？比如：

{
  "users" : {
    "YFIIAgwa2kaannrXjwvSZmoywma2" : {
      "private": { 
        "Name:" : "Example 1" 
      },
      "public" : {
        "email" : "example1@gmail.com"
      }
    },
    "YgSfSzPzxLbyDL17r6P9id2cdvH2" : {
      "private": { 
        "Name:" : "Example 2" 
      },
      "public" : {
        "email" : "example2@gmail.com"
      }
    }
  }
}

/UPD：这种方式应该很容易（呃）拥有不同的权限，因为它们不会从父级继承它们？