具有查询权限的 Firestore 安全规则“exists()”

Question

Firestore 查询似乎不适用于子集合数据结构。

我的数据库结构如下：

users
  userUid
    { userData }
  ...
groups
  groupID
    { groupData }
    members
      member1uid
        { memberData }
      ...
    messages
      message1
        { messageData }
      ...

我的测试用户是否是某个组的成员的规则是这样的：

function isMemberOfGroup(groupId) {
  return exists(/databases/$(database)/documents/groups/$(groupId)/members/$(request.auth.uid))
}

match /groups/{groupId} {
  allow read: if isMemberOfGroup(groupId)
}

问题是我不能使用具有这些规则的查询，因为（我发现）没有办法根据子集合是否包含某个文档进行查询。这意味着我无法列出某个用户所属的所有组。我尝试仅在属于groupData 一部分的地图中列出所有用户，但我无法设置谁可以编辑文档的某些部分的权限，因此这也不起作用。

编辑： 据我了解，查询必须以某种方式匹配规则，否则权限将被拒绝。我将如何创建一个查询来收集某个用户所在的所有组并满足此规则。

Answer 1

Firebase 安全规则不会自行过滤数据。相反，它们确定允许哪些读取操作/查询。

因此，如果成员应该只能阅读他们所属的组，那么像 firebase.firestore().collection('groups').get() 这样的阅读将永远不会起作用。

您将始终必须在查询中复制“仅限成员”逻辑。这只有在有关成员资格的数据在文档本身中时才有可能，因为单个查询/读取只能从单个集合/组中读取。由于在您的数据结构中，授权所依赖的数据位于不同的集合中，因此我认为您不能安全地查询它，尽管您可以保护对单个文档的访问。