Firebase .validate 无法按预期使用 $location

Question

我有以下 Firebase 规则，但无法按预期进行验证：

{
  "rules": {
    ".read": true,
    ".write": true,

    "specialItems": {
      "$itemid": {
        ".validate": "root.child('items/' + $itemid).exists()"
      }
    }
  }
}

我的 .validate 规则的目的是，“specialItems”列表中的条目只有在“items”列表中已经存在时才被接受。不幸的是，无论如何，Firebase 都允许我添加到 specialItems - 毫无疑问，因为我误解了验证应该如何工作。

我正在使用应用引擎 python urlfetch API 通过 REST 与 firebase 对话，并使用 PATCH 方法。

auth_payload = {"uid": "custom:1", "auth_data": "foo"}
token = create_token(FIREBASE_SECRET, auth_payload, {"admin": True})

url = "https:/<my-app>.firebaseio.com/specialItems.json?auth=" + token
payload = json.dumps({"myItem": "ok"})

result = urlfetch.fetch(url=url, payload=payload, method=urlfetch.PATCH)

当从一个空数据库开始时，这会给我留下一个完整的数据树，如下所示：

specialItems
  -- myItem: "ok"

我期待这棵树无法通过验证规则。我也尝试过使用 PUT，效果相同：

url = "https://<my-app>.firebaseio.com/specialItems/myItem.json?auth=" + token
result = urlfetch.fetch(url=url, payload='"ok"', method=urlfetch.PUT)

要注意的另一件事是，尽管我的规则似乎表明任何人都应该具有读/写访问权限，但我目前需要使用“admin: True”进行身份验证才能写入任何内容。让我想知道我的规则是否正在被应用——如果是这样，那么我不确定如何启用我的规则——它们就在“安全和规则”窗格中。我在这里还假设管理员不允许违反架构验证规则。

Answer 1

你猜错了。使用admin: true 进行身份验证将绕过安全规则。因此，您的 .validate 规则将不会在这种情况下应用。 .validate 规则本身在物理上没有任何问题。

另外，假设您的问题准确地反映了实际情况，此处无需进行身份验证。根路径上的 .write/.read true 将允许访问 Firebase 中的任何数据。很可能，您的规则运行良好并阻止了写入，这就是为什么您错误地认为您需要 admin: true 才能写入数据。

请按照 Saeed 在他的回答中已经建议的那样检查模拟器。

Answer 2

试试下面的代码

{
  "rules": {
    ".read": true,
    ".write": true,

    "specialItems": {
      "$itemid": {
        ".validate": "root.child('items').hasChild($itemid)"
      }
    }
  }
}

您可以使用仪表板上的模拟器来测试您的规则。如果不需要身份验证，请确保您已选中“启用匿名用户身份验证”，进行身份验证，然后输入您的 url 并检查读取和写入结果。