Firebase 对象所有权与事件观察

Question

我在我的 iOS 应用中使用 Firebase。我希望我的每个对象都有一个 creatorId 属性，其值是经过身份验证的用户 ID（authData.uid 带有 Firebase 身份验证对象）。我正在使用自定义令牌生成器进行身份验证，但问题也可以通过匿名登录来重现。

我希望用户只能读取（和写入，但现在让我们专注于阅读，因为那是我遇到问题的地方）他们创建的对象。换句话说，查询用户的认证用户 ID 将匹配他们正在获取的对象的creatorId。

当我制定查询和规则来实现这一点时，我遇到了权限问题。

Here 是 Firebase 的规则和安全文档。

这是我的 Firebase 仪表板对于 Task 对象的外观：

+ firebase-base
    + tasks
        + {task_id}
             + creatorId: 
             + title: 

其中task_id 是 Firebase 在插入时生成的唯一标识符。

我的规则是这样的（同样，让我们​​暂时忽略编写规则）：

{
   "rules": {
       "tasks": {
         "$task_id": {
           ".read": "auth.uid === data.child('creatorId').val()"          
         }
       }
   }
}

读取特定任务可以正常工作，但我希望能够使用observeEventType 和相关函数进行查询“获取我创建的所有任务”。这对我不起作用。我收到“权限被拒绝”错误。

这是我在 Swift 中的观察方式：

let reference = Firebase(url: "https://{My-Firebase-Base-Reference}/tasks")
reference.observeEventType(.ChildChanged, 
     withBlock: { (snapshot: FDataSnapshot!) -> Void in

                       // Success

             }) { (error: NSError!) in

                       // Error: I get Permissions Denied here.

              }

根据@Ymmanuel 的建议，我还尝试在查询中更加具体，如下所示：

let reference = Firebase(url: "https://{My-Firebase-Base-Reference}/tasks")
reference.queryOrderedByChild("creatorId").queryEqualTo({USER_UID}).observeEventType(.ChildChanged, 
     withBlock: { (snapshot: FDataSnapshot!) -> Void in

                       // Success

             }) { (error: NSError!) in

                       // Error: I get Permissions Denied here.

              }

这些块都不起作用，我总是收到“权限被拒绝”错误。我做错了什么？

Answer 1

您缺少的是假设安全规则是查询，而事实并非如此。

检查 链接中的Rules are Not Filters 部分。

安全规则仅验证您是否可以读取或写入 Firebase 数据库的特定路径。

如果您只想接收特定用户的更改，您应该使用 firebase 查询。

例如，如果你想获取特定用户的所有任务，你应该这样做：

let reference = Firebase(url: "https://{My-Firebase-Base-Reference}/tasks")
reference.queryOrderedByChild("creatorId").queryEqualTo(YOUR_CURRENT_USER_UID).observeEventType(.ChildChanged, 
     withBlock: { (snapshot: FDataSnapshot!) -> Void in
          // Success
     }) { (error: NSError!) in
          // Error: Get Permissions Denied Here.
}

这样您可以获得所有仅与您的用户相关的事件，并通过应用安全规则来保护信息。

此外，如果您只想允许创建者编写自己的任务，您还应该考虑创建任务并编写如下内容的情况：

  "tasks": {
     //You need to include the $task_id otherwise the rule will seek the creatorId child inside task and not inside your auto-generated task
     "$task_id": {
       ".read": "auth.uid === data.child('creatorId').val()",
       //this is to validate that if you are creating a task it must have your own uid in the creatorId field and that you can only edit tasks that are yours...
       ".write":"(newData.child('creatorId').val() === auth.uid && !data.exists()) || (data.child('creatorId').val() === auth.uid && data.exists())",
       //you should add the index on to tell firebase this is  a query index so your queries can be efficient even with larger amounts of children
       ".indexOn":"creatorId",        
     }
   }

（检查语法，但这是一般的想法）

Answer 2

几个cmets：

如果本地持久性打开，并且您没有互联网连接并且没有本地值，则不会调用任何块。

问题中的观察代码困扰着我，这并没有错，但如果是这样的话可能会更清楚一些：

    reference.observeEventType(.ChildChanged, withBlock: { snapshot in

            print(snapshot.value)

        }, withCancelBlock: { error in

            print(error.description)

    })

编辑：

现在问题更清楚了

我希望用户只能读取他们创建的对象。

我将通过以下方式进行演示：

Firebase 结构：

posts
  post_0
    created_by: uid_0
    msg: some message
  post_1
    created_by: uid_1
    msg: another message
  post_2
    created_by: uid_2
    msg: yippee

以及允许用户仅从他们创建的帖子节点读取的规则

"rules": {
    ".read": false,
    ".write": false,
    "posts": {
      ".read": false,
      "$post_id": {
        ".read": "root.child('posts').child($post_id).child('created_by').val() == auth.uid",
        ".write": "auth != null"
      }
    }
  }

然后是要测试的代码。我们假设当前用户的 uid 是 uid_0：

let reference = self.myRootRef.childByAppendingPath("posts/post_0")

reference.observeEventType(.ChildAdded, withBlock: { snapshot in

        print(snapshot.value)

    }, withCancelBlock: { error in

        print(error.description)    
})

以上代码将允许从节点 post_0 读取，该节点是由 created_by 子节点指示创建的 post uid_0。

例如，如果路径更改为 posts/posts_1（或其他任何内容），则读取被拒绝。

这个答案我没有直接回答这个问题，就好像您期望规则“阻止”或“过滤”结果数据一样，这不是规则的用途（根据其他答案）。

因此，您可能想走一条不同的道路，方法是构建一个查询，以根据 created_by = auth.uid 仅提取您想要使用的帖子，就像这样

let reference = self.myRootRef.childByAppendingPath("posts")

reference.queryOrderedByChild("created_by").queryEqualToValue("uid_1")
    .observeEventType(.Value, withBlock: { snapshot in

            print(snapshot.value)

        }, withCancelBlock: { error in

            print(error.description)    
    })