根据身份验证过滤 Firebase 实时数据库数据

Question

我正在使用 Firebase 实时数据库作为 Android 应用的数据存储，现在我正在尝试根据用户权限实现一些基本过滤。

这是我的数据库：

{
    "admins" : { 
        `user1hash` : true
    },
    "clients" : {
        "client1hash" : {
            "owner": "user1hash",
            "name" : "Client 1"
        },
        "client2hash" : {
            "owner": "user1hash",
            "name" : "Client 2"
        },
        "client3hash" : {
            "owner": "user2hash",
            "name" : "Client 3"
        }
    }
}

我按照https://firebase.google.com/docs/database/security/securing-data 的基于查询的规则部分中的示例进行了如下定义：

{
  "rules": {
    "clients": {
      ".indexOn": "owner",
        ".read": "auth.uid != null && (root.child('admins/' + auth.uid).val() == true || query.orderByChild == 'owner' && query.equalTo == auth.uid)",
        ".write": "auth.uid != null",
        ".validate": "newData.hasChildren(['owner']) && newData.child('owner').val() == auth.uid"
    }
  }
}

这是我的客户端代码（Android）：

        FirebaseDatabase database = FirebaseDatabase.getInstance();
        String authUser = FirebaseAuth.getInstance().getCurrentUser().getUid();
        DatabaseReference clientsDatabase = database.getReference("clients").orderByChild("owner").equalTo(authUser).getRef();
        clientsDatabase.addListenerForSingleValueEvent(new ValueEventListener() {
            @Override
            public void onDataChange(DataSnapshot dataSnapshot) {
                // handle success
            }

            @Override
            public void onCancelled(DatabaseError databaseError) {
                // handle error
            }
        });

所以基本上我只是希望能够获取所有客户端，但根据当前用户的访问规则过滤结果。访问规则非常简单，用户只能看到他是owner 的客户端，除了可以看到所有客户端的管理员用户。例如，如果这是由管理员 user1 运行的，他应该看到所有三个客户端，但如果这是由普通用户 user2 运行的，他应该只能看到客户端 3。

此实现适用于管理员，但我收到普通用户的权限错误。

我在 Firebase 控制台中尝试了规则模拟器，但它没有提供任何有关如何使用查询的文档。无论如何，我尝试将查询添加为像/clients?orderByChild=owner&equalTo=user2hash 这样的常规 URL 查询字符串，但这会在模拟器上返回一个空错误，并且没有说明原因。我在 Android 端遇到的错误也没有任何描述，只是一个通用权限错误。

Answer 1

问题出在这句话中：

DatabaseReference clientsDatabase = 
    database.getReference("clients")
            .orderByChild("owner")
            .equalTo(authUser)
            .getRef();

特别是最后一行getRef()，它丢弃了您为构建查询所做的一切。上面的语句让clientsDatabase 完全一样：

DatabaseReference clientsDatabase = database.getReference("clients");

这很好地解释了语句失败的原因。

您需要保留返回的Query 并在其上附加您的听众：

DatabaseReference clientsDatabase = database.getReference("clients");
Query query = clientsDatabase.orderByChild("owner").equalTo(authUser);
query.addListenerForSingleValueEvent(new ValueEventListener() { ...