如何安全地允许每个人使用 Firebase 实时数据库读取和授权用户写入应用程序？

Question

我正在构建一个社交媒体应用程序，任何人都可以在其中阅读正在发生的事情，但必须登录才能与每个帖子进行交互。我想找到一种方法，让我的所有用户都能够在没有不安全数据库的情况下做到这一点。我几乎完成了开发工作，目前正在尝试清理一些东西。

出于开发目的，我当前的规则设置为 true：

{
  "rules": {
    ".read": true,
    ".write": true
  }
}

我尝试了一些规则

1.

{
  "rules": {
      "$uid": {
        ".read": true,
        ".write": "auth.uid == $uid"
      }
  }
}

允许所有人阅读但由于权限不允许写入。

2)

{
  "rules": {
      "$uid": {
        ".read": "auth.uid == $uid",
        ".write": "auth.uid == $uid"
      }
  }
}

由于权限，不允许任何人读取或写入。

3.

{
  "rules": {
    ".read": "auth.uid != null",
    ".write": "auth.uid != null"
  }
}

这可行，但后来我收到一封电子邮件，告诉我我的数据库不安全。

以下是导致权限被拒绝错误的示例：

A) 当用户点击发送新公告按钮时 调用此函数。

 StorageService.sendAnnouncementDataToDatabase(photoUrl: "", announcementComment: announcementComment, ratio: CGFloat(0), onSuccess: {
ProgressHUD.showSuccess("SWEET")
})

B) 内部 sendAnnouncementDataToDatabase 函数

        let ref = Ref().databaseAnnouncements
        let newAnnouncementID = ref.childByAutoId().key ?? ""
        let newAnnouncementReference = ref.child(newAnnouncementID)
        guard let currentUser = Api.User.CURRENT_USER  else {
            return
        }
  
        var dict = ["userId" : currentUserId, "photoUrl" : photoUrl]
        
        newAnnouncementReference.setValue(dict, withCompletionBlock: {(error,ref) in
// permission denied occurs here
})

我已经阅读了许多文件，并堆叠了问题。以及尝试为每条路径设置规则。同样的结果。

任何想法都会有所帮助。 谢谢。

Answer 1

如果这是实际目标

任何人都可以在其中阅读正在发生的事情，但必须登录 与每个帖子互动

那么这条规则就行了

{
  "rules": {
    ".read": true,
    ".write": "auth != null"
  }
}

因为它允许任何人读取任何内容，但只有经过身份验证的用户才能写入。

但是，正如弗兰克在他的 cmets 中提到的那样，这非常不安全。我们或许可以稍微扩展一下这个解决方案，但在不了解整个用例的情况下，它可能会远远超出此处可以作为完整答案发布的内容。