Firebase 存储安全规则

Question

我正在为连接到前端的应用程序使用火基存储。 我目前仅存储桶文件夹的存储规则是：

match {groupID}/{userId}/{image} {
        allow read: if isValidProvider() && request.auth.token.groupId == groupID && request.auth.uid == userId;
        allow write: if isValidProvider() && request.auth.uid == userId &&  request.auth.token.groupId== groupID && isImageValid() && isValidImageExtension(image);
      }
    }  

功能如下：

function isImageValid(){
    return (request.resource.contentType.matches('image/png') ||
        request.resource.contentType.matches('image/jpg') ||
        request.resource.contentType.matches('image/jpeg') ||
        request.resource.contentType.matches('image/webp') ||
          request.resource.contentType.matches('image/gif'));
        
  }



  function isValidImageExtension(image) {
  return (image.matches('.*[.]png') || 
      image.matches('.*[.]jpeg') ||
      image.matches('.*[.]jpg') ||
      image.matches('.*[.]webp')||
      image.matches('.*[.]gif'));
  }

我的意图是基于 groupID 的读取权限和基于用户 ID 的写入权限。 此外，在文件夹中 - 它应该只接受格式为 - png/jpeg/jpg/webp/gif 的图像

但是，在尝试通过邮递员进行测试时 - 我可以添加 ndjson 文件或 .py 文件。 例如 - API 调用以 -test.jpg 结尾，但在正文 - 二进制文件中，我添加了一个 .py 文件。 此外，在存储中，.py 保存为类型 - image/jpg。

这正在被添加到存储中。

如何限制只从后端添加图片文件？

Answer 1

uploading files 上的文档最清楚地说明了如何确定 contentType：

putFile() 方法自动从文件扩展名推断 MIME 类型，但您可以通过在元数据中指定 contentType 来覆盖自动检测到的类型。如果您不提供contentType，并且 Cloud Storage 无法从文件扩展名推断默认值，则 Cloud Storage 使用application/octet-stream。

所以 Firebase 确实不查看文件的实际内容来设置确定内容类型。

相反，内容类型是从文件扩展名派生的，您可以在上传文件时通过在元数据中显式设置内容类型来覆盖它。

由于您没有设置元数据，因此内容类型由文件名中的.jpg 扩展名确定。 Python 内容不用于确定。

---

如果您想要更严格地检查内容类型，请考虑运行在上传时触发的云函数，并使用文件类型嗅探器查看文件的实际内容来验证类型。然后，如果文件的内容与其类型不匹配，您可以删除该文件，或者例如将 verified 属性添加到您可以签入客户端的元数据中。

Answer 2

我找到了验证here 的方法。这对您有帮助吗？