如何在 Firebase 中添加规则以防止读取父元素？

Question

我有一个 Firebase 数据库，我希望只允许有权访问该应用程序的用户读取和写入。

我的数据结构是这样的：

{
  "applications": {
    "id_1": {
      "feature": {
        "a": true,
        "b": false
      },
      "users": {
        "user_id_1": true,
        "user_id_2": true
      }
    }
  }
}

如您所见，每个应用程序都可以有许多具有读/写权限的用户。

我只希望users 对象中的用户能够检索该应用程序。

我有这样的规则：

{
  "rules": {
    "applications": {
      ".read": "auth != null",
      ".write": "auth != null",
      "$appId": {
        ".write": "data.child('users').child(auth.uid).val() === true",
        ".read": "data.child('users').child(auth.uid).val() === true"
      }
    }
  }
}

".read": "auth != null", 允许任何已登录的用户检索所有应用程序。我只希望用户 user_id_1 或 user_id_2 能够读取该应用程序。

在伪代码中，我会这样做：

{
  "rules": {
    "applications": {
      ".read": "only users in `root.applications.$appId.users` can read", // I need to replace `$appId` some how
      ".write": "auth != null",
      "$appId": {
        ".write": "data.child('users').child(auth.uid).val() === true",
        ".read": "data.child('users').child(auth.uid).val() === true"
      }
    }
  }
}

我该如何限制它，以便当用户 user_id_1 获取他们的应用程序时，他们只能看到他们有权访问的应用程序？

Answer 1

您在这里遇到了一些常见问题，所以让我们一一解决。

1。安全规则无法过滤数据

您试图在/applications 的规则中控制用户尝试读取该节点时将返回的应用程序。不幸的是，这是不可能的，因为安全规则授予全有或全无的访问权限。

因此，要么用户有权访问/applications（及其下的所有数据），要么他们无权访问它。您不能在 /applications 上设置规则来授予他们访问某些子节点的权限。

在文档中，这被称为rules are not filters，事实上permission cascades。

2。避免嵌套数据

您尝试授予对/applications 的访问权限，但随后在其中为每个应用程序存储了两种类型的数据。在这种情况下，通常最好将每种类型的数据存储为自己的顶级列表。

所以在你的情况下，那就是：

{
  "application_features": {
    "id_1": {
      "a": true,
      "b": false
    },
  },
  "application_users": {
    "id_1": {
      "user_id_1": true,
      "user_id_2": true
    }
  }
}

这允许您为应用程序用户及其功能授予单独的访问权限。虽然这意味着您必须从两个分支读取以获取每个用户的所有信息，但性能差异可以忽略不计，因为 Firebase pipelines those requests over a single socket

为了控制访问和最具可扩展性的数据结构，Firebase 建议您使用avoid nesting data 和flatten your data structure。

3。对数据库中的数据进行建模以反映应用的屏幕

由于授予任何人对 /applications 的访问权限使他们能够访问其下的所有数据，因此您可能需要另一个地方来存储每个用户的应用程序列表。

我通常在我的数据库中明确列出这个列表，作为另一个顶级列表：

{
  ...
  "user_applications": {
    "user_id_1": {
      "id_1": true
    },
    "user_id_2": {
      "id_1": true
    }
  }
}

因此，现在当您想要显示当前用户的应用程序列表时，您可以从 /user_applications/$uid 加载 ID，然后通过额外调用查找每个应用程序的附加信息（这又可以再次通过管道传输）。

这个不在文档中，而是 NoSQL 数据库的常见模式。我建议查看我对Many to Many relationship in Firebase 和Firebase query if child of child contains a value 的回答。