Firebase 安全规则 data.exists() 不起作用

Question

在here 之后，我创建了一个简单的安全规则和云函数，调用它来查看用户名是否已经存在。问题是安全规则写入检查总是通过并且只是在该位置（/username_lookup/user1）设置新值。

当我尝试使用实时数据库规则模拟器在此位置写入时，它按预期工作，即写入被阻止。

有人能发现问题吗？

firebase 安全规则

"rules": {    
 "username_lookup": {
  "$username": {
     // not readable, cannot get a list of usernames!
     // can only write if this username is not already in the db
     ".write": "!data.exists()",

     // can only write my own uid into this index
     ".validate": "newData.val() === auth.uid"
  }
 }
}

还有云功能

var fb = admin.database().ref();
createUser(uid, username);

function createUser(userId, usrname) {
    fb.child('username_lookup').child(usrname).set(userId, function(unerr) {
        if(unerr) { 
            res.setHeader('Content-Type', 'application/json');
            res.send(JSON.stringify({error: "the_error_code" }));
         }
     }); 
 }

username_lookup 对象/索引的屏幕截图

Answer 1

您的 Cloud Functions 通过以下方式访问 Firebase 数据库：

var fb = admin.database().ref();

如您所见，模块为 admin，表示您正在使用 Firebase Admin SDK。 Firebase Admin SDK 的关键特性之一是：

以完全管理员权限读写实时数据库数据。

来源：https://firebase.google.com/docs/admin/setup

所以 Admin SDK 实际上绕过了您的安全规则。

将错误处理程序用于基本流控制也是一种非常糟糕的做法。

改为使用 Firebase 事务以原子方式读取/写入具有名称的位置：

fb.child('username_lookup').child(usrname).transaction(function(value) {
    if (value) {
        res.setHeader('Content-Type', 'application/json');
        res.send(JSON.stringify({error: "the_error_code" }));
        return; // abort the transaction
    }
    else {
        return userId;
    }
});