Firestore、Firebase 身份验证和具有多个业务实体的 Firestore 规则

Question

我正在尝试查看 Firestore 是否适合我的需求。

我正在使用 Firestore 设计一个多租户系统，以实现可扩展性和安全性。这可以仅使用 Firestore、Firebase 身份验证和 Firebase 规则来处理所有 CRUD 操作吗？实体背后的理念是：

System > Account > Business > Customer

每个实体级别的角色是：

Administrator, Manager, Support, Report, Unauthenticated (the customer)

帐户有企业，企业有客户。客户无需进行身份验证，而是阅读特定文档（由企业指定），然后创建自己的特定新文档。他们可以创建多个文档，但会有基于时间的卷阈值（没有 DOS！）。

我相信，如果 Firestore 规则没有将帐户作为具有多个企业的超集，它会很好用。

是否可以仅使用 Firestore、身份验证和规则来创建这样的系统？我想保持简单，但也不想用钳子敲钉子。

提前感谢您的洞察力！

Answer 1

通过一组定义明确的Custom Claims，您确实可以将 Firestore 用于这样的多租户系统。

在您的安全规则中，您可以根据访问角色组合不同的声明。

您尤其应该：

1. 检查用户是否有正确的声明，例如auth.token.businessId == "xyz", auth.token.role == "Support"
2. 检查用户是否正在编写/阅读与其实体相对应的文档，例如allow create: if request.auth.uid == userId && request.resource.data.businessId == auth.token.businessId

不要忘记Security Rules are not filters，因此在用户执行的每个查询中，您需要从他/她的自定义声明中添加不同的 ID（businessId、accountId 等...）。通过使用（子）集合来模仿实体树，或者在查询中使用一些 where() 子句。

---

请注意，由于客户不需要进行身份验证，因此如果他们拥有其他企业的 ID（即DocumentReferences），他们可能会从其他企业读取和创建文档。

---

您可能必须为每个用户（角色、帐户、业务...）管理一组声明，这可能会变得很复杂，因此您可能会对以下解释如何 create an Admin module for managing Firebase users access and roles 的文章感兴趣。