Cloud Firestore 基于角色的访问

Question

我正在尝试为 Cloud Firestore 实施基于角色的安全性。我是否正确理解用户在https://firebase.google.com/docs/firestore/solutions/role-based-access 的谷歌示例中检索故事会看到其他用户的角色？ 一个设计会如何反对呢？ 我假设使用另一个集合并使用 Get？

Answer 1

有点模糊，但是...

我正在应用程序中实现基于角色的访问，但没有遵循示例，原因正是您提到的：如果用户可以阅读文档，那么他们会阅读文档的全部。

我的方法不那么直接。

角色存储在更安全的记录中，只有被授权创建角色的人才能访问。

• 云函数用于用户获取角色信息 - 即 用户没有直接访问权限，但安全后端可以 适当地验证和“过滤”数据（在这种情况下，他们是否是业务资产的“经理”）
• 另一个云函数将角色信息添加到用户帐户 令牌作为 customClaims（必须在安全环境中完成，而不是客户端）
• 安全规则根据 customClaims 验证访问 - 所有 发生在安全的环境中（无需信任浏览器）

比较复杂，但它确实控制了角色的可见性。