Firebase 规则允许教师和学生读取/写入数据

Question

我正在使用 Firebase 数据库来存储学生/教师数据库。现在我的规则允许教师通过调用提供与学生相关数据的可调用函数来读取学生的数据。 （Firebase 管理员 SDK）

我想做什么 -

1. 允许教师邀请学生将他们添加到他的学生列表下。教师可以通过调用 http firebase 函数发送邀请，通过电子邮件发送邀请。
2. 一旦学生点击邀请链接接受，他们就会被添加到向他们发送邀请的老师的下方。
3. 接受后，教师可以通过调用可调用函数来读取他注册的所有学生的数据。这是我有问题的地方。我可以毫无问题地正确阅读，但每次刷新页面时调用一个函数会很昂贵，因此我决定使用 firebase 规则。

以下是我的 firebase 数据库结构。如何设计数据库规则，使教师无需调用可调用函数即可读取学生数据。

我在stackoverflow post 上发现了类似的东西 -

数据库

{
    "teachers":
    {
        "teacher-unique-id":
        {
            "invited":
            {
                "auto-gen-key-id": "student-email-id-1",
                "auto-gen-key-id": "student-email-id-2",
                "auto-gen-key-id": "student-email-id-3",
                "auto-gen-key-id": "student-email-id-4",
                "auto-gen-key-id": "student-email-id-5",
            },
            "accepted":
            {
                "auto-gen-key-id": "unique-student-id-1",
                "auto-gen-key-id": "unique-student-id-2",
                "auto-gen-key-id": "unique-student-id-3",
            }
        }
    },
    "students":
    {
        "unique-student-id-1":
        {
            "session-id-1":
            {
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
            },
            "session-id-2":
            {
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
            }
        },
        "unique-student-id-2":
        {
            "session-id-1":
            {
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
            },
            "session-id-2":
            {
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
                "auto-gen-key-id": "data",
            }
        }
    }
}

Firebase 规则 - 这基本上是我使用的默认规则。如何修改它们以实现我想要实现的目标？

 {
  /* Visit https://firebase.google.com/docs/database/security to learn more about security rules. */
  "rules": {
    "teachers":{
      "$uid":{
        "studentsId":{
          ".read": "$uid===auth.uid", 
        }
      }
    },
    "students":{
      "$uid":{
        ".read": "$uid===auth.uid",
            ".write": "$uid===auth.uid"
      } 
    }
  }
}

Answer 1

您将接受的学生存储为：

"teachers": {
  "teacher-unique-id": {
    "accepted": {
      "auto-gen-key-id": "unique-student-id-1",
      "auto-gen-key-id": "unique-student-id-2",
      "auto-gen-key-id": "unique-student-id-3",
    }
  }
},

问题在于，使用这种结构，您需要搜索accepted 下的所有值以了解老师是否认识学生，而您无法在安全规则中搜索。所以我建议将数据存储为：

"teachers": {
  "teacher-unique-id": {
    "accepted": {
      "unique-student-id-1": true, 
      "unique-student-id-2": true, 
      "unique-student-id-3": true, 
    }
  }
},

使用该结构，您可以允许教师读取已接受他们的学生的数据：

{
  "rules": {
    ...
    "students":{
      "$uid":{
        ".read": "$uid===auth.uid || 
               root.child('teachers').child(auth.uid).child('accepted').child($uid).exists()",
        ".write": "$uid===auth.uid"
      } 
    }
  }
}

请注意，这将授予教师访问/student/$studentid 的权限，而不是授予/students 的访问权限。由于rules are not filters，他们需要单独访问每个学生的数据。