具有动态路径的安全规则

Question

假设我有一个具有以下结构的数据库：

• 权限
  • $pId（从推送中自动生成的 id）
    • 用户ID
    • 房间号
    • 许可
• 用户
  • $uId
    • 姓名
• 房间
  • $rId
    • 姓名

是否可以编写一条规则说“如果存在 p.userId = auth.uid and p.roomId = $rId and p.permission = 'admin' 的权限 p，则允许用户修改房间”？

据我所知，如果没有在每个房间下嵌套权限信息，这是不可能的。

Answer 1

你需要稍微改变一下你的结构。与其使用推送 ID 来识别权限，不如使用更受控制的结构。例如：

"Permissions": {
  "roomId": {
    "userId": "role"
  }
}

现在您可以按照自己的意愿保护房间：

{
  "rules": {
    "Room": {
      "$rId": {
        ".write": "root.child('Permissions').child($rId).child(auth.Id).val() == 'admin'"
      }
    }
  }
}

另一个好处是，如果您想撤销用户的权限，您不必扫描所有权限。