firestore 'read' 和 'list' 安全规则有什么区别？

Question

在 Firestore 访问规则中使用 allow list; 和 allow read; 有什么区别？更具体地说，如果我只允许 list 而不是 read 限额，我的数据会得到什么额外保护？

在我看来，read 和 list 提供了相同的安全性，他唯一的区别是 list 使得合法访问单个对象变得更加麻烦。毕竟，一个坏演员可以简单地列出对象，然后阅读它们的全部内容。如果他知道对象的 ID，他可以简单地将其作为搜索词包含在内。

// The scopes collection is restricted to only allow 'list' requests.
// The scopes collection contains a 'postPhoto' document

// The following request will fail with an insufficient permission error, as expected
await db
  .collection(`/auth/${client}/scopes`)
  .doc('postPhoto')
  .get()
  .then(doc => console.log(doc.id, doc.data()))
  .catch(e => console.error(e))

// But this request will succeed, and it is in effect the same as the previous
await db
  .collection(`/auth/${client}/scopes`)
  .where(firebase.firestore.FieldPath.documentId(), '==', 'postPhoto')
  .get()
  .then(col => col.forEach(doc => console.log(doc.id, doc.data())))
  .catch(e => console.error(e))

我原以为list 访问权限只允许您查看文档的存在，而不能查看其内容。但既然list 显然也允许您访问底层文档数据，为什么不直接使用read？

Answer 1

其实list是read的一个特例，在documentation中有解释：

在某些情况下，将读取分解并将写入更多是很有用的 细化操作。例如，...您可能希望允许读取单个文档但拒绝大型查询。

read 规则可以分为 get 和 list

---

更具体地说，让我们采用以下安全规则：

service cloud.firestore {
    match /databases/{database}/documents {
      match /col1/{docId=**} {
          allow list: if request.auth.uid != null;
      }   
      match /col2/{docId=**} {
          allow get: if request.auth.uid != null;
      }
  }
}

以下查询将起作用：

firebase.firestore().collection("col1").get()

虽然这个不起作用：

firebase.firestore().collection("col2").get()

---

现在，让我们假设每个集合都有一个 id 为“1”的文档。

以下查询将起作用：

firebase.firestore().collection("col2").doc("1").get()

虽然这个不起作用：

firebase.firestore().collection("col1").doc("1").get()

---

最后，如果你改变规则如下，使用read，上面的所有查询都可以工作！

service cloud.firestore {
    match /databases/{database}/documents {
      match /col1/{docId=**} {
          allow read: if request.auth.uid != null;
      }   
      match /col2/{docId=**} {
          allow read: if request.auth.uid != null;
      }
  }
}

Answer 2

来自Firebase Documentaion：

read 规则可以分解为get 和list，而write 规则可以分解为create、update 和delete

write的规则定义很明确，get和list的区别如下：

• get 规则将单个文档的检索限制为公共文档或用户创作的文档。
• list 规则应用与 get 相同的限制，但适用于查询。它还会检查查询限制，然后拒绝任何没有限制或限制大于 10 的查询。

（来自Securely query data - Firebase Documentation）

在编写规则时，请注意 read 被分解为 get 和 list - 因此它可以组合起来做任何事情。

根据您的问题，

在我看来，read 和 list 提供了相同的安全性，唯一的区别是 list 使得合法访问单个对象更加麻烦。

list 用于安全地查询集合，并在您从客户端的collection() 方法调用时被触发。另一方面，get 是当您调用从doc() 方法接收数据时。

毕竟，一个坏演员可以简单地列出对象，然后阅读它们的全部内容。如果他知道对象的 ID，他可以简单地将其作为搜索词包含在内。

是的，但另一方面，get 可用于防止集合列表查询。 Firebase 团队使用 list 和 get 的一个更好的理由是更容易编写查询，而不是更改安全功能的方式。 （截至目前，有isn't a way to limit query based on where clause，否则它本可以在您的场景中用于保护。）