更改 Firebase 云规则 [关闭]

Question

我的 Firebase Cloud 数据库中有以下规则：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

我不断收到电子邮件说：

我们检测到您的安全规则存在以下问题：

• 任何用户都可以读取您的整个数据库
• 任何用户都可以写入您的整个数据库

在我们的主屏幕中，用户只能通过使用电子邮件+密码或通过短信获得的电话号码+代码签名来进入应用程序。两者都适用于 Firebase 身份验证服务。在这种情况下应该有什么规则？

Answer 1

如果您只想允许经过身份验证的用户访问，您将修改您的规则如下：

// Allow read/write access on all documents to any user signed in to the application
rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
  }
}

话虽如此，请注意以下两点：

• 通过执行/{document=**}（即使用recursive wildcard），您可以将这些规则应用于Firestore 数据库的所有集合/文档。最好为每个集合显式定义规则，以便以更细粒度的方式控制对每个集合的访问。这样，您就可以避免将来创建新的非公共集合但忘记调整安全规则的任何错误。
• 不要忘记，任何拥有您的 Firebase 项目的 Web API 密钥（在您应用的源代码中不难找到）的人都可以为您的 Firebase 项目创建一个帐户，例如，只需调用Firebase Auth REST API。换句话说，此规则只允许经过身份验证的用户访问您的数据库，但默认情况下，任何人都可以成为经过身份验证的用户。