如何将 Firebase 实时数据库规则设置为只读子节点？

Question

我有一个名为配置文件的节点，它有一个 id 列表。 我想只允许对子节点进行读取访问，并阻止读取所有配置文件。

这是我在规则中的内容，但它允许读取所有配置文件。

{
  "rules": {
      "profiles":{
        ".read": true,
        ".write": false  
      }
  }
} 

这就是我在个人资料下的内容

{
  "1" : {
    "id" : "1",
    "name" : "test1"
  },
  "2" : {
    "id" : "1",
    "name" : "test2"
  }
}

Answer 1

通常，您会将每个用户的个人资料存储在一个密钥下，该密钥具有其 Firebase 身份验证 UID 的值。所以：

{
  "profiles": {
    "uidOfUser1": {
      "id" : "1",
      "name" : "test1"
    }
    "uidOfUser2": {
      "id" : "2",
      "name" : "test2"
    }
  }
}

在这种情况下，您可以使用以下规则保护它：

{
  "rules": {
    "profiles": {
      "$user_id": {
        // grants read access to the owner of this user account
        // whose uid must exactly match the key ($user_id)
        ".read": "$user_id === auth.uid"
      }
    }
  }
}

在安全规则中，auth.uid 的值是当前登录 Firebase 身份验证的用户的 UID。无法欺骗此值，因此这是保护数据访问的好方法。上述规则允许用户在其auth.uid 与配置文件的键匹配时读取特定配置文件。所以uidOfUser1 或uidOfUser2。

还可以查看Firebase documentation on securing user data，其中对其进行了更详细的描述。