让 .read 和 .write 安全规则适用于组

Question

我很难为构建基于团队的协作平台编写安全规则。

1. ​​当用户注册时，他们应该能够创建一个团队并邀请用户加入该团队。
2. 项目应归团队所有。​
3. ​只有该团队中的用户才能查看该项目。​
4. ​用户只能看到他们所属的团队​。

我如何编写​.read​安全规则，以便用户只能看到他们所在团队的信息？

我应该只列出两个团队，因为我属于他们 github:8272012​.​

​当前的安全规则：​

{
    "rules": {
        ".read": true, 
        "users": {
          "$user": {
            //can add a message if authenticated
            ".write": "auth.uid === $user" 
          }
        }, 
        "teams": {
            "$team": {
                "users": {
                    // can write to the users list only if ADMINISTRATOR
                    "$user": {
                        ".write":"newData.parent().child(auth.uid).val() === 99"
                    }
                }
            }
        },
        "projects": {
          "$team": {
            "$project": { 
                //can add a message if they are a MEMBER
                ".write": "(!data.exists() && newData.exists() && root.child('teams/' + $team + '/users/' + auth.uid).val() >= 10)"
            }
          }
        }
    }
}

我应该只列出两个团队，因为我属于他们github:8272012。

Answer 1

以下安全规则将仅向项目团队中的用户授予项目的读写访问权限（假设您为每个用户添加一个 /projects 节点以指示该用户有权访问哪些项目）：

"rules": {
  "projects": {
    "$project": {
      ".read": "root.child('users').child(auth.uid).child('projects').val().child($project).exists()" ,
      ".write": "root.child('users').child(auth.uid).child('projects').val().child($project).exists()" 
    }
  }
}

我看不到您为每个项目存储了哪些数据，但如果您存储对项目团队的引用，您也可以在安全规则中使用它。