如何阅读 Firebase 安全规则中的文档？

Question

我正在尝试在模拟器上针对某些 firebase 安全规则运行测试，但是在运行它时，资源始终显示为 null，并且永远不会针对底层的允许写入运行测试。这是我的安全规则代码：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
  
    match /{document=**} {
      allow read, write: if isSignedIn(); // only if user is signed in are they allow to do any operation
      
      match /{spaceId} { // Any space: not reading or writing allowed to those docs
            allow read, write: if false;
        }
        match /{spaceId}/posts/{postId} { // any post
            allow read; 
        allow write: if resource.user.uid == request.auth.uid;
        }
    }

Answer 1

match /{document=**} 表示您正在为此集合及其下的所有文档定义规则。因此，检查isSignedIn 的顶级allow 规则也适用于所有子集合。并且由于规则是ORed 在一起的，这意味着任何登录的用户也可以读/写spaceid 文档。

要使匹配仅适用于它自己的集合，请从中删除 =**。

Answer 2

Frank 有权利在规则中存在漏洞。我敢肯定，规则就像在 css 代码中一样工作。首先限制对所有数据的访问，然后允许任何人做任何事情。

在下面的例子中，用户只能在用户和应用集合中做一些事情。

match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if false;
    }
    match /users/{userId} {
        allow create: if (isLoggedIn() && !userExist()) || isAdmin());
        allow read, update: if isOwner(userId) || isAdmin());
    }
    match /app/{data} {
        allow write: if isEditor();
        allow read: if true;
    }
}

您的问题的解决方案是resource.data.user.uid，您在资源之后错过了数据。请记住，如果您创建文档写入操作是创建和更新，则将没有资源。更新将起作用，但无法创建。