在 Firestore 规则中使用 Firebase 用户令牌 ID答案

【问题标题】：Using firebase user token id in firestore rules在 Firestore 规则中使用 Firebase 用户令牌 ID
【发布时间】：2020-05-20 18:33:18
【问题描述】：

我们正在构建一个移动应用程序，并希望在使用 ios sdk 的规则中使用 firebase 令牌 ID（就像我们在 nodejs 函数“admin.auth().verifyIdToken(firebaseIdToken)”中所做的那样）

我们应该以任何方式发送安全令牌本身并在规则本身中使用它，还是 firebase 为我们这样做？目前我的规则是

allow read, update, delete: if request.auth != null && request.auth.uid == userId;

但我不确定它是否足够安全，ios sdk 是在请求中发送 userId 还是使用令牌然后 Firestore 将其转换为 uid？

【问题讨论】：

【解决方案1】：

SDK 发送令牌，安全规则引擎对其进行验证。这个过程是安全的，不能被伪造——这就是安全规则的重点。

【讨论】：