Firebase 规则变量与字符串不匹配

Question

所以我试图在我的 Firestore 规则中将用户电子邮件与集合名称匹配，如下所示：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {  
    match /users/{userEmail} {
      allow read: if request.auth.token.email.matches(userEmail);      
    }
  }
}

我知道将集合 ID 设置为电子邮件不是一个好习惯，但请假设它是 any 字符串。 上述方法不起作用。但是，如果我将 request.auth.token.email.matches(userEmail) 替换为 request.auth.token.email.matches("myemail@gmail.com")，它就可以正常工作。

上面我的用户集合中有一个 id = myemail@gmail.com 的文档，那么为什么当我使用 userEmail 变量时它不匹配，但如果我使用“myemail@gmail.com”字符串会匹配？

附加信息： 请求/getAccountInfo你可以看到myemail@gmail.com作为电子邮件

应用代码

我使用 Vuexfire 进行火库绑定。 store/index.js

bindUsers: firestoreAction(({bindFirestoreRef}) => {  
    return bindFirestoreRef("users", db.collection("users")
    .where('email', '==', 'myemail@gmail.com');
}),

App.vue

async mounted() {
    if (firebase.auth.currentUser) {
        // Bind Vuexfire after if/when user exists to capture Firestore changes
        await this.$store.dispatch("bindUsers");
    }
}

Answer 1

您的查询正在过滤名为电子邮件的文档属性（不是其 ID）：

return bindFirestoreRef("users", db.collection("users")
.where('email', '==', 'myemail@gmail.com');

这与用户 Firebase 身份验证帐户中的电子邮件令牌无关。您根本没有证明您在文档中有 email 属性 - 您所拥有的只是一个 文档，其 ID 包含电子邮件地址。

您的查询最终需要匹配限制查询的规则。这意味着您需要某种方式在客户端上以匹配规则约束的方式显式过滤。这意味着您将不得不对具有 ID 的特定文档使用 get() 类型查询，而不是需要使用 where 子句进行过滤的集合查询。

Answer 2

我可能是错的，但看起来您编写的规则更像是过滤器而不是安全规则。

@DougStevenson 会比我清楚得多，但是如果您对字符串值进行硬编码，那么 Firestore 可以明确确定该规则是成功还是失败。但是，如果您使用变量，那么我相信 Firestore 通常会确定规则是返回 true 还是 false - 而不是特定的运行时情况。在这种情况下，规则应返回 false，因为会有未通过测试的行。

看起来您正在尝试使用您的规则来过滤掉行。 Firestore 规则不能那样工作。

正如 Doug 所建议的，您应该向我们展示一些您用于访问该集合的客户端代码，以便我们确定该代码是否落入“规则试图成为过滤器”的陷阱。