基于地图值的 Firestore 安全规则

Question

我想根据用户的电子邮件地址存储是否允许用户在文档本身中阅读文档。多个用户应该可以访问同一个文档。

根据the documentation Firestore 不允许查询数组成员。这就是为什么我将用户的电子邮件地址存储在 String-Bool Map 中，并以电子邮件地址作为键。

对于以下示例，我没有使用电子邮件作为映射键，因为它已经不适用于基本字符串。

数据库结构如下：

lists
  list_1
    id: String
    name: String
    owner: E-Mail
    type: String
    shared:
      test: true

此处列出了所有安全规则：

service cloud.firestore {
  match /databases/{database}/documents {
    match /lists/{listId=**} {
        allow read: if resource.data.shared.test == true
    }
  }
}

编辑：如果我使用match /lists/{listId} 而不是match /lists/{listId=**}，它也不起作用

我的理解是，如果映射 shared[test] 中的值为 true，则此安全规则应该允许所有人进行读取访问。

为了完整起见：这是我正在使用的查询（Android 上的 Kotlin）：

collection.whereEqualTo("shared.test", true).get()
        .addOnCompleteListener(activity, { task ->
            if (task.isSuccessful) {
                Log.i("FIRESTORE", "Query was successful")
            } else {
                Log.e("FIRESTORE", "Failed to query existing from Firestore. Error ${task.exception}")
            }
        })

我猜我无法从安全规则中访问映射值。那么我的问题的替代解决方案是什么？

在Firestore rules reference 中写到可以像resource.data.property == 'property' 那样访问地图所以，我做错了什么？

Answer 1

只要您有（可选）嵌套属性，您应该确保该属性存在，然后再继续检查其值，例如。

allow read: if role in request.auth.token && request.auth.token[role] == true

在你的情况下：

allow read: if test in resource.data.shared && resource.data.shared.test == true

，我在角色方面苦苦挣扎了很长时间，直到我意识到在非管理员用户上，管理字段是未定义的，firestore 规则只是崩溃并且不会继续检查其他可能的匹配项。

对于没有 token.admin 的用户，无论您是否有其他匹配项为真，这将始终崩溃，例如：

function userHasRole(role) {
  return isSignedIn() && request.auth.token[role] == true
}

Answer 2

编辑：现在应该修复这个问题。如果您仍然看到它（并且确定这是规则评估器的错误），请在 cmets 中告诉我。

我在这里与一些人聊过您遇到的问题，这似乎是安全规则本身的问题。从本质上讲，问题似乎特定于评估查询中的嵌套字段，就像您正在做的那样。

因此，基本上，您正在执行的操作应该可以正常工作，并且您需要等待 Firestore 团队的更新才能使此查询正常工作。发生这种情况时，我会尽量记住更新此答案。对不起！