带有 resource.data 的 Firestore 查询安全规则返回 false

Question

match /User/{uid} {
            allow get : if request.auth.uid != null;
            allow list: if request.auth.uid != null  
            && ( request.time - resource.data.online ) < duration.value(24, 'h') &&
            request.query.limit <= 40 && request.query.orderBy['online'] == 'DESC'   ;

}

这是查询用户列表的规则，条件是只需要列出从现在开始少于24小时在线字段的用户文档。该集合的用户数据在线字段均少于 24 小时。但是当使用 get() 方法从 firebase-android-sdk 查询时它返回 false 。删除以下条件时它可以工作，但我很困惑它有什么问题。

( request.time - resource.data.online ) < duration.value(24, 'h')

我也尝试过使用duration.abs(request.time - resource.data.online ) < duration.value(24, 'h')

在Android客户端代码是

mQuery = mUsersDatabase.orderBy("online", Query.Direction.DESCENDING).limit(10);
mQuery.get().addOnCompleteListener(new OnCompleteListener<QuerySnapshot>() {
            @Override
            public void onComplete(@NonNull Task<QuerySnapshot> task) {
                if (task.isSuccessful()) {
                   ....

Answer 1

规则本身不会过滤数据。相反，他们只是强制要求对数据的所有访问都是经过授权的。

如果您只想允许用户访问不到 24 小时的数据，您需要做两件事：

1. 仅读取不到 24 小时的数据的查询。
2. 允许该查询并拒绝其他列表操作的安全规则。

现在，您似乎只有规则，并且那些正确拒绝您的代码发送的查询，因为该查询正在尝试读取所有数据。

您需要向查询添加一个条件，以仅请求您的规则允许的数据。比如：

mUsersDatabase
  .orderBy("online", Query.Direction.DESCENDING)
  .where("online", "<", new Date(System.currentTimeMillis() - (24 * 60 * 60 * 1000))
  .limit(10)

您可能需要稍微调整偏移量，以防止客户端和服务器之间的微小偏移量导致规则不必要的拒绝。