Firebase，解码后的 idToken 与 REST 发送的令牌不一样

Question

我正在为我的项目后端使用 firebase 实时数据库，但在制定安全规则时遇到了问题。我使用 REST 与数据库通信并授权 REST 请求，我根据https://firebase.google.com/docs/database/rest/auth 发送一个 idToken 作为“auth =”参数的查询。

Firebase 仅检测到我已获得授权，但当我比较数据库规则中的 auth.uid 时，它们并不相同。我设置了自己的服务器，如果我解码令牌，我发现它确实保存了用户的正确信息。

这是我想要实现但不起作用的数据库规则：

{
  "rules": {
      "$uid": {
        ".read": "auth.uid === $uid",
        ".write": "auth.uid === $uid"
      }
  }
} 

但这些规则确实有效，这意味着我已获得授权。为什么 auth 对象不保存实际的用户 ID，而是保存 auth.uid 的其他值？

  "rules": {
      "$uid": {
        ".read": "auth != null",
        ".write": "auth != null"
      }
  }
}

为什么 firebase 对令牌的解码方式不同？我什至可以访问发送到规则的身份验证对象吗？

Answer 1

auth 对象具有如下所列的 3 个属性：

name	description
provider	The authentication method used ("password", "anonymous", "facebook", "github", "google", or "twitter").
uid	A unique user id, guaranteed to be unique across all providers.
token	The contents of the Firebase Auth ID token. See the reference documentation for auth.token for more details.

要访问包含自定义声明的解码令牌，您可以使用auth.token。您可以在documentation 中找到有关auth.token 对象的更多详细信息

---

由于您的数据位于节点'data' 下，因此您必须在规则中指定：

{
  "rules": {
    "data": {
      "$uid": {
        ".read": "auth.uid === $uid",
        ".write": "auth.uid === $uid"
      }
    }
  }
}