被阻止用户的严重问题 Firebase 读取规则答案

【问题标题】：Serious problem Firebase read rule for blocked user被阻止用户的严重问题 Firebase 读取规则
【发布时间】：2020-08-20 22:12:00
【问题描述】：

我正面临 Firebase 安全规则的严重问题。我想将 read 设置为 false 以阻止用户搜索。这是我的数据库结构。

users:{
      uid1:{
           name:"Joe",
           created:1226287
          },
      uid2:{
          name:"John",
          created:1273725
          },
      uid3:{...},
      uid4:{...},
      ...
   },

 blocked:{
       uid1:{
            uid2: true,
            uid4: true
       }
   }

考虑上面的结构，假设user2 在users 节点下搜索一个用户，输入“Joe”，然后点击回车。我这样设置我的 firebase 规则。

 users:{
     $uid:{
         ".read":"!root.child('blocked').child($uid).hasChild(auth.uid)"
         }
     }

如果user2 查询user/user1 路径，则此规则可以正常工作。但是当user2搜索到时，如何防止他获取被屏蔽的用户数据。

【问题讨论】：

标签： firebase firebase-realtime-database firebase-security

【解决方案1】：

没有直接的方法可以获取没有阻止该特定用户的用户列表。但如果用户根据用户名或其他一些基于用户的条件进行搜索，那么最好的工具是 Firebase Functions。

实现函数的步骤（考虑基于名称搜索）（从客户端调用firebase函数并传递搜索名称）：

获取所有具有相同名称的用户详细信息。
获取所有屏蔽了请求用户的用户（或同名用户）。
弹出所有阻止请求用户的用户。
将用户列表发回给请求的用户。

为什么 Firebase Function 是这种情况下的最佳选择？因为函数是在安全环境中执行的，可以绕过安全规则。