Firestore 哪个规则用于从 Android 应用程序只读并使用 API KEY 写入？

Question

我对 Firestore 的安全规则有疑问。

我的场景是这样的：用户只会读取数据的 Android 应用程序。他们不会保存，他们不会修改任何东西。他们不会注册。这只是数据读取。

就我而言，我需要在该集合中写作。我打算通过 cURL 使用 API KEY 来实现。

我使用的规则如下：

  match /mycol/{document=**} {
  allow read: if request.auth.uid != null; allow  write: if true;
}

我想阻止我的收藏被访问，例如从任何地方通过 URL：

https://firestore.googleapis.com/v1/projects/myproject/databases/(default)/documents/mydoc/mycol/

例如避免机器人发出不加选择的请求，这会增加我的账单......

我正在为这种情况实施良好的规则（仅从未经身份验证的 Android 应用读取并使用 API KEY 通过 cURL 写入）？

Answer 1

您并没有真正关闭您的收藏，相反，您允许任何人对其进行写入。

为了只允许您自己写入集合，有几个选项。您可以使用Admin SDK 并编写一个只能在您的机器上运行的小程序。

Admin SDK 忽略安全性，因此您可以删除写入部分，它只对您有效。

match /mycol/{document=**} {
  allow read: if request.auth.uid != null;
}

这可能是最简单的选择，而且很安全，只要您保证您的凭据安全并且只在受信任的机器/网络中执行此操作。

另一种选择是为自己创建一个用户并与该用户进行身份验证。例如，它可以是移动应用程序、Web 应用程序或 Node 应用程序。通过这样做，您可以为您的用户创建自定义声明，并且只允许拥有该声明的用户编写，如下所示：

match /mycol/{document=**} {
  allow read: if request.auth.uid != null; allow write: if request.auth.token.admin;
}

然后您可以像这样（从节点）向用户设置声明：

await admin.auth().setCustomUserClaims("user_user_id", { admin: true });

另一个选择是创建一个云函数来写入该集合。 Cloud Functions 使用 Admin SDK，因此安全规则也不适用，除非您希望使用 Javascript 客户端 SDK 来代替。然后在 Cloud Function 中您可以验证您的 API 密钥，并且您将始终调用 Cloud Function 的 URL 而不是直接调用数据库。

我会选择第一个选项，以便您熟悉 Admin SDK，然后如果需要，您可以升级到更结构化的解决方案。

Answer 2

由于您尝试仅针对某些条件进行只读和写操作。请尝试使用此规则。这里在条件中指定 api 键（如果有）：

   service cloud.firestore {
      match /databases/{database}/documents {
        match /<some_path>/ {
          allow read: if <some_condition>;
         allow write: if <some_condition>;
}
      }
    } 

要仅针对您的应用程序，您应该为此获取应用程序令牌，只需执行以下操作：

FirebaseInstanceId.getInstance().getInstanceId().addOnSuccessListener(this, instanceIdResult -> {
    String newToken = instanceIdResult.getToken();
    Log.e("newToken", newToken);
});

运行此代码后，转到您的日志，然后复制令牌，然后简单地在您的条件中指定该令牌，尝试使用您的应用程序令牌创建一个身份验证 ID，然后将该身份验证 ID 与您的数据库规则中的应用程序令牌进行比较