如何通过 Firestore 安全规则根据资源路径锁定 Firestore 集合组查询

Question

我正在应用中实现 Firestore 集合组查询，并且我想制定一个安全规则来锁定拥有他们尝试查询的资源的用户的访问权限

Firestore 中的数据结构类似于 users/1234/.../posts/5678。我想提取正在通过集合组查询的资源的路径，然后将提取的 userId（在本例中为 1234）传递到我的 signedIn() 方法中，该方法仅根据自定义令牌检查 userId。我知道这个signedIn() 方法可以正常工作，因为我还有其他依赖它的规则可以正常工作。

我在我的 firestore.rules 文件中尝试了以下内容：

// collection groups
match /{path=**}/posts/{post} {
  allow read: if resource['__name__'][0] == "users" && signedIn(resource['__name__'][1])
}

与

// collection groups
match /{path=**}/posts/{post} {
  allow read: if path[0] == "users" && signedIn(path[1])
}

不幸的是，当我尝试查询posts 集合组时，我仍然会遇到权限被拒绝错误。我什至找不到任何调试的好方法，因为仪表板中的模拟器似乎对集合组查询不是很有用。

附：我知道我可以在post 文档中添加userId 字段，然后编写如下规则：

// collection groups
match /{path=**}/posts/{post} {
  allow read: if signedIn(resource.data.userId)
}

事实上，我已经尝试过了，并且成功了。但出于商业原因，如果可能的话，我宁愿不这样做。

Answer 1

您是否试图限制进行 db 调用的用户只允许他们查看属于该用户的帖子？

这是 firestore 规则中 signedIn 方法的样子：

function signedIn() {
  return request.auth.uid != null;
}

以及一种限制用户只能在与他们的 uid 相同的路径中进行 crud 操作的方法

match /users/{userId}/posts/{postsId} {
  allow create, read, update: if request.auth.uid == userId && signedIn();
}