某些用户的 Firebase 读/写权限

Question

我有一个家庭，A、b、c、d，A是领导​​。我们有一个入侵者，E。我们只希望 b, c, d 读取/写入 A 的数据。

所有这些字母（b、c d、...）都是 UID 的

这是我目前所拥有的：

每个人都通过电子邮件进行身份验证。人们向 A 发送请求以允许加入他的组。如果他接受，他们可以读/写他的。

数据库 Firebase 的设计

{
  "Leaders" : {
    "A" : {
      "ALLOWED" : {
        "b" : 0,
        "c" : 0,
        "d" : 0
      },
      "DATA" : {
        "blah blah1" : "content writable by bcd",
        "blah blah2" : "content writable by bcd"
      },
      "REQUESTS" : {
        "E" : 0
      }
    }
  }
}

我可以使用 CRUD 来移动 b, c, d 但我如何制定规则以便遵循只有 ALLOWED 中的人才能读/写每个领导者的数据？

    {
  "rules": {
    ".read": "auth != null",
    ".write": "auth != null"
    "Leaders":{
    ".write": "$uid == ????"
    }
  }
}

感谢您的帮助！

Answer 1

应该是检查当前leader下是否存在节点的问题：

{
  "rules": {
    "Leaders":{
      "$leaderuid": {
         ".write": "$leaderuid == auth.uid",
         "DATA": {
           ".write": "data.parent().child('ALLOWED').child(auth.uid).exists()"
         }
       }
    }
  }
}

我改变的地方：

• 删除顶级读/写规则。否则，任何经过身份验证的用户都可以读取/写入所有数据，并且您永远无法再在较低级别取消该权限。
• 领导者可以写入他们的整个节点。我在这里使用auth.uid，如documentation on securing user data 中所述。
• 如果用户的 uid 存在于 ALLOWED 节点中，则用户只能在 DATA 下写入。