如果通配符已知，则使用通配符读取数据的 Firebase 规则

Question

我有一个注册系统，我只希望用户注册，如果他们有一个有效的密钥，我会提供给想要注册的用户。如果密钥在数据库中，则继续注册。因此，我生成了随机不重复的 8 个字符，并将它们存储在实时数据库中，结构如下：

Secrets:
 "x5f1n9v0":
     "Status" : 1
 "C8vT2xxY":
     "Status" : 1
And so on

..

{
  "rules": {
    "secrets":{
      "$secret": {
        ".read": true,
        ".write": false
      }      
    }
  }
}

关于上述规则的第一个问题：- 在这种情况下，没有人可以添加新的密钥？ 此外，只有当有人从我的列表中获得有效密钥时，读取才会有效？没有人可以阅读整个列表吗？这有什么错误吗？

现在假设有另一组规则，如果用户知道有效 id，我想写入每个键的子级。

如果我将写入规则更改为 true，这会起作用并且没有错误可以破解它吗？

  "rules": {
    "secrets":{
      "$secret": {
        ".read": true,
        ".write": true
      }      
    }
  }
}

谢谢

Answer 1

在这种情况下，没有人可以添加新的密钥？

使用这些第一条规则，只有具有管理权限的人才能添加密钥。

只有当某人拥有我列表中的有效密钥时，读取才会有效？没有人可以阅读整个列表？

确实没有办法用你的第一组规则阅读整个列表。只有知道密钥的人才能读取密钥。

用你的第二套规则：

"secrets":{
  "$secret": {
    ".read": true,
    ".write": true
  }
}

现在任何人都可以写任何秘密。那可能不是你想要的。如果您只想允许他们更改现有密钥下已经存在的数据，您需要检查是否已经存在任何数据：

"secrets":{
  "$secret": {
    ".read": true,
    ".write": "data.exists()"
  }
}

如果您希望他们不能更改但不能删除现有数据，那就是data.exists() && newData.exists()。如果您对用户可以编写的数据格式有其他要求，则需要将这些要求添加到相应的 .validate 规则中。

您的最后一套规则既无效又毫无意义。这是无效的，因为 $secrets 没有定义。但即使它被定义为$secrets === $secrets，也将永远是true。