Firestore 规则：验证数据没有字段

Question

所以我目前对所有用户都有两个角色：isAdmin 和 isReader。

允许管理员读取和写入数据，并且允许读取器读取数据。

当有人创建帐户时，他没有任何权利。甚至没有isReader。只有管​​理员可以更改规则。

这就是我计划的方式：

一旦有人创建了帐户，我就会在 Users 集合中创建一个文档，如下所示：

uid: user.uid,
email: user.email,
role: {
    isAdmin: false,
    isReader: false,
}

每次登录时，我都会更新“电子邮件”和uid，但保持role 不变。为了保护这种行为，我有这些规则：

match /Users/{userId} {
  allow read: if isOwner(userId) || isAdmin();
  allow create: if request.resource.data.hasAll(['uid', 'email', 'role']) && request.resource.data.role.isAdmin == false && request.resource.data.role.isReader == false;
  allow update: if resource.data.role == null || isAdmin();
}

function isAdmin() {
  return getUserData().role.isAdmin == true;
}

我认为我有 2 个错误：

1. 由于某种原因，data.hasAll(['uid', 'email', 'role']) 不起作用。当我删除这部分时，create 规则按计划工作。

2. resource.data.role == null 不起作用。我打算检查数据是否包含role 的任何更新，因为我不能允许它不是来自管理员。但由于某种原因，它不起作用。

任何想法我做错了什么？还有我的策略是保存还是有人可以“破解”自己的读者或管理员权限？

Answer 1

这看起来可能是自定义身份验证声明的一个很好的用例。您可以在安全环境中为用户设置特定角色，如this codelab 所示。下面是在您的服务器中设置自定义声明的示例。您甚至可以为此使用 Cloud Functions。我建议您查看 Codelab 的完整代码，以便了解如何确保不只是任何人都可以请求将自定义声明添加到他们的用户。

admin.auth().setCustomUserClaims(uid, {Admin: true}).then(() => {
// The new custom claims will propagate to the user's ID token the
// next time a new one is issued.
});

然后您可以在您的安全规则中检查用户的这些角色。

service cloud.firestore {
  match /databases/{database}/documents {
    match /Users/{userId} {
      allow read: if request.auth.token.Owner == true || request.auth.token.Admin == true;
      allow create: request.auth.uid == userId && 
      request.resource.data.uid == request.auth.uid &&
      request.resource.data.email != null;
      allow update: request.auth.uid == userId || request.auth.token.Admin == true;
    }
  }
}

请注意，所有关于“角色”的规则都已被删除，因为它们不再需要。如果您对实施有任何疑问，请告诉我，因为这是一个常见问题，我正在尝试围绕此制作更多内容。

Answer 2

request.resource.data.hasAll(['uid', 'email', 'role']) 不起作用，因为 request.resource.data 是 Map 而不是 List。您应该使用keys() 从Map 创建一个List 并确保某些键存在。

关于你的第二个问题，你应该检查是否有写到roles：allow update: if !('roles' in request.writeFields) || isAdmin();。这将确保对roles 的任何更新都将失败，除非用户是管理员。

关于您的安全问题；我看到几个问题。首先是任何人都可以创建无限的用户，这也意味着任何管理员都可以创建无限的其他管理员帐户。为了阻止这种情况发生，我将在allow create 中添加另一个部分，以限制用户创建：

allow create: if userId == request.resource.data.uid
  && request.auth.uid == request.resource.data.uid
  && request.resource.data.hasAll(['uid', 'email', 'role'])
  && request.resource.data.role.isAdmin == false
  && request.resource.data.role.isReader == false;`

第二个是任何人都可以更改他们的uid 并尝试冒充他人。显然，这不会改变与他们的 Auth Token 关联的uid，但取决于你如何编写其余规则、后端安全性甚至前端显示，有人可能会利用该缺陷来利用你的代码或其他用户（可能是管理员）。您可以通过检查writeFields 中是否有人更改他们的uid 来确保没有人更改它（您还需要以前的安全解决方案来确保他们在创建过程中不会冒充）。 p>

allow update: if !('uid' in request.writeFields)
  && (!('roles' in request.writeFields) || isAdmin());

我希望这会有所帮助。