Flutter firebase 发送带有数据库读取的令牌

Question

当我尝试阅读我的 Firebase 中的文档时，我希望能够检查请求是否合法。 出于这个原因，有一个令牌存储在 Firebase 中。如果令牌与客户端匹配，我只想允许访问。 因此，我的安全规则应该检查来自客户端的令牌是否与文档中的令牌匹配。 我无法使用 auth 执行此操作，因为我的应用程序没有登录名，并且完全依赖文档 ID 和令牌来访问数据。

所以我的问题是，如何在颤振读取请求中发送参数？ 如果请求中的令牌与文档中的令牌匹配，我该如何比较。 我想这大概是这样的：

match /databases/{database}/documents {
  match /test/{document} {
    allow write, read: if request.resource.data.token== document.data.token;
  }
}

Answer 1

所以我的问题是，如何在颤振读取请求中发送参数？

您不能将自己的参数传递给安全规则。安全规则中唯一可用的信息（对于读取请求）是：

• 发出请求的用户的token。
• 用户尝试读取的数据的path。
• 它们传递的任何query 参数。

因此，如果您想进行此类检查，则必须将令牌编码为这三件事之一。最简单的一种是使用令牌作为文档 ID。然后将您的规则更改为：

match /databases/{database}/documents {
  match /test/{document} {
    allow get: if true;
  }
}

用户现在仍然可以get 文档，但不能再list 文档（read 与get + list 相同）。归结为：如果您知道文档的 ID，则可以阅读它。这是保护文档访问的一种非常常见的方法，并且被称为共享密钥的一种形式。