Firebase 数据结构和安全规则

Question

我在使用 firebase 的安全规则时遇到了问题，而且我不是 100% 会出错。我在想也许我的数据结构有误：

{
"users": {
    "uid": {
        "displayName": "Name";
    }

},
"modules": {
    "id": {
        "title": "buttons",
        "uid": "(user id string)"
    },
    "id": {
        "title": "navbars",
        "uid": "(user id string)"
    }
},
"snippets": {
    "id = moduleID": {
        "id (of snippet)": "(id string)" {
            "uid (user ID)": "(string)",
            "body": {
                "css": "(some code)",
                "html": "(Some code)",
                "name": "(string)",
                "description": "(string)"
            }
        }
    }
}

应用程序中的一切工作正常，但是当我开始添加安全规则时，我收到了拒绝访问错误。我只是想知道我的数据结构一开始是正确的还是安全规则完全错误？

安全规则：

{
"rules": {
    "users": {
        "$uid": {
            // grants write and read access to the owner of this user account whose uid must exactly match the key ($uid)
            ".write": "auth != null && auth.uid == $uid",
            ".read": "auth != null && auth.uid == $uid"

        }
    },
    "snippets": {
        "$uid": {
            // grants write and read access to the owner of this user account whose uid must exactly match the key ($uid)
            ".write": "auth != null && auth.uid == $uid",
            ".read": "auth != null && auth.uid == $uid"
        }
    },
    "modules": {
        "$uid": {
            // grants write and read access to the owner of this user account whose uid must exactly match the key ($uid)
            ".write": "auth != null && auth.uid == $uid",
            ".read": "auth != null && auth.uid == $uid"
        }
    }
}

任何建议将不胜感激。

Answer 1

根据数据结构，规则似乎格式不正确。

规则在每个节点中都有 $uid，但您的数据不匹配。用户有 uid，但模块有 id，sn-ps 有 id = moduleID。

$uid 是一个保存节点名称的变量，因此它可以在 {} 中引用，因此您应该（为了便于阅读）将其他两个节点中的变量重命名为在每个 {} 中更有意义的名称。就像在模块中一样，拥有它 $module_id。

但是。我认为这个笑话是你想限制阅读 sn-ps 和模块给经过身份验证的用户。为此，您可以引用用户节点。

.read 规则是这样的

"modules": {
    "$module_id": {
        ".read": "auth != null && root.child('users/' + auth.id).exists()
    }

因此，经过身份验证的用户可以读取您的模块节点，并且他们的 uid 也出现在用户/节点中

Answer 2

您是否使用 Firebase Bolt 编译器生成规则？我不得不编写一些复杂的规则，并且手工编写很快就会变得混乱。

下面是它的样子。非常容易进行更改、编译和试用。

//current logged in user
isUser(uid) = auth != null && auth.uid == uid;
//does this module id exist
hasValidModule(module_id) = root['modules'][module_id] != null;

//dont let anyone read or write to top node
path / {
    read() = false;
    write() = false;
}
path /users/$user_id 
{   
    write() = isUser($user_id);
    read() = isUser($user_id);
}
path /snippets/$module_id/$snipit_id/$user_id 
{   
    write() = isUser($user_id) && hasValidModule($module_id);
    read() = isUser($user_id);
}
path /modules/$user_id 
{   
    write() = isUser($user_id);
    read() = isUser($user_id);
}

这是它吐出的 json：

{
  "rules": {
    "users": {
      "$user_id": {
        ".read": "auth != null && auth.uid == $user_id",
        ".write": "auth != null && auth.uid == $user_id"
      }
    },
    "snippets": {
      "$module_id": {
        "$snipit_id": {
          "$user_id": {
            ".read": "auth != null && auth.uid == $user_id",
            ".write": "auth != null && auth.uid == $user_id && newData.parent().parent().parent().parent().child('modules').child($module_id).val() != null"
          }
        }
      }
    },
    "modules": {
      "$user_id": {
        ".read": "auth != null && auth.uid == $user_id",
        ".write": "auth != null && auth.uid == $user_id"
      }
    }
  }
}

Firebase 博客上有一些信息，但真正帮助我的文档是这个

https://github.com/firebase/bolt/blob/master/docs/language.md