在 /items 获取 permission_denied：客户端无权访问所需数据

Question

我正在定义一个 firebase 规则来按 userId 读取数据。 userId 是用户创建的每条数据上的一个标志，当然也就是用户的 uid。

她的规则如下：

{
    "rules": {
      "items": {
        "$itemId": {
         ".read": "auth !== null && root.child('items/$itemId/userId').val() === auth.uid"
        }
      }
    }
}

我正在客户端访问数据，如下所示：

firebase.database().ref(`/items`)
    .once('value')
    .then(snapshot => {
      const places = []
      const data = snapshot.val();
      for (let key in data) {
        places.push({
          ...data[key],
          key: key
        });
      }
    })

我希望根据每个项目上的用户 ID 标志访问所有者的数据。

以下数据结构示例：

Answer 1

根据 Firebase 文档 rules are not filters。但是去年（2018）引入了查询规则，我认为blog post比docs更好理解这一点。

因此，为了保持您当前的数据结构，您的规则应该更改为：

{
    "rules": {
      "items": {
         ".read": "query.orderByChild == 'userId' && query.equalTo == auth.uid"
      }
    }
}

那么你也必须改变你的查询：

firebase.database().ref(`/items`).orderByChild('userId').equalsTo(userId)...

最后一件事，您的数据库结构似乎指向其他需求：

• 如果您想让您的数据只能由创建它的用户访问，并且还有一个可以查看所有内容的管理员，那么更好的解决方案是对您的数据进行非规范化处理。您的数据结构将是：

user_items: {
    uid1: {
          key1:{//full object here}
     }
},
items: {
    key1:{//partial item here, just name and photo, think on a list}
},
admins:{
    uid1:true
}

这里通过管理节点解决了管理问题，这可以与custom claims 和Firebase Functions 结合使用。

• 既然有一个 places word，也许您需要使用其他类似 geofire 的东西来表示位置