firebase 安全规则所有身份验证用户都可以添加新帖子，只有创建帖子的用户才能编辑它

Question

我目前正在开发一个所有身份验证用户都可以创建帖子的页面。帖子也应该是可编辑的，但只能由创建者编辑。此外，具有特定电子邮件地址的管理员应该能够编辑帖子。

这是我的安全角色：

{
  "rules": {
    "shoes" : {
      ".read": true,
        "$shoeID" : {
          ".write" : "root.child('shoes').child($shoeID).child('postowner').val() === auth.uid && auth != null && root.child('users').child(auth.uid).child('uid').val() === auth.uid || auth.token.email === 'admin@admin.com'"
        }
    },
    "websites" : {
      ".read": true,
        "$shoeID" : {
          "$storeID" : {
             ".write" : "root.child('websites').child($shoeID).child($storeID).child('postowner').val() === auth.uid && auth != null && root.child('users').child(auth.uid).child('uid').val() === auth.uid || auth.token.email === 'admin@admin.com'" 
          }
        }
    },
    "users" : {
      "$uid" : {
        ".read" : "auth != null && root.child('users').child($uid).child('uid').val() === auth.uid"
      }
    } 
  }
}

这是我的数据库结构：

我认为我做错了什么，因为按照我当前的规则，任何用户都可以更改数据。

Answer 1

我不确定问题出在哪里，但这条规则对我来说似乎过于复杂：

".write" : "
  root.child('shoes').child($shoeID).child('postowner').val() === auth.uid 
  && auth != null 
  && root.child('users').child(auth.uid).child('uid').val() === auth.uid 
  || auth.token.email === 'admin@admin.com'
"

可以改进的地方：

• 您已经使用了auth.uid，在之后无需检查auth != null。要么先移动空检查，要么完全跳过它。
• 无需通过$shoeID 查找鞋子，因为它已经在data 中。所以你的root.child('shoes').child($shoeID) 等同于（更短更惯用的）data。
• root.child('users').child(auth.uid).child('uid').val() === auth.uid 子句在鞋子的写操作中似乎没有意义。该子句只能在/users/$user的写操作中强制执行。

通过这些更改，您的规则变为：

".write" : "
  data.child('postowner').val() === auth.uid 
  || auth.token.email === 'admin@admin.com'
"

如前所述：我看不出写入操作中出了什么问题，但希望您使用更简单的规则可以更轻松地解决该问题。我建议从规则游乐场开始，并使用它来重播您的代码所做的事情。