Firestore 安全规则：使用 array_contains 来确定授权

Question

我可以在 Firebase 安全规则中使用 array_contains 的等效项吗？

我有一个Event 类（对应于events 集合中的Event 文档）。每个文档都有一个subscribers 列表/数组，其中包含应该能够查询此事件的所有用户的 UID：

{
    .
    "subscribers" : ["uidA", "uidB", "uidC"],
    .

}

更明确地说，用户应该能够运行查询：

db().collection("events").whereArrayContains("subscribers", "uidC");

如何编写此安全规则？

我试过了：

match/events/{eventId} {
    allow list: if request.auth.uid in resource.data.subscribers;
}

模拟器告诉我访问将被拒绝。

使用这样的函数也会报告访问被拒绝：

function isSubscriber() {
    return resource.data.subscribers.includes(request.auth.uid);
}

match/events/{eventId} {
    allow list: if isSubscriber();
}

Answer 1

感谢@DougStevenson 的建议，我使用了规则：

match/events/{eventId} {
    allow list: if request.auth.uid in resource.data.subscribers;
}

然后让我的 Android 开发人员实际尝试从他的设备进行查询，结果成功了！

不要盲目相信 Firestore 安全规则的模拟器，它可能与现实不同！！！模拟器的代码可能与为实际评估生产中的规则而部署的代码不同，因此结果可能略有不同。

Firebase 安全规则文档：https://firebase.google.com/docs/reference/rules/rules.List（显然它也适用于 Firestore）。