Firestore 安全规则 - 权限被拒绝

Question

我有一个用户集合，用于存储用户数据，例如姓名、电子邮件等，以及另一个用于被阻止用户的集合。我想让用户阅读自己的文档和他/她没有阻止的用户的文档。我已经实施了安全规则，但不知何故，用户甚至无法阅读自己的文档。有人可以帮忙吗？

用户收藏

users { // name of collection
   a1 { // this is firebase id serving as document name
     name: "abc",
     email: abc@gmail.com
   }
   a2 { // this is firebase id serving as document name
     name: "efg",
     email: efg@gmail.com
   }
   a3 { // this is firebase id serving as document name
     name: "hij",
     email: hij@gmail.com
   }
   a4 { // this is firebase id serving as document name
     name: "klm",
     email: klm@gmail.com
   }
}

阻止收集

blocked { // name of the collection
    a1 { // name of the document
        a2 : 1, // this means a1 has blocked a2
        a4 : 1  // this means a1 has blocked a4
    }
}

安全规则

service cloud.firestore {
    match /databases/{database}/documents {
        match /users/{userId} {
            allow read: if request.auth.uid != null
            && get(/databases/$(database)/documents/blocked/$(request.auth.uid)).userId != 1;
        }

        match /blocked/{fid} { // blocked collection/fid == owner firebase id
            allow read: if request.auth.uid == fid;
        }
    }
}

代码

DocumentReference docref = Firestore.instance.collection("users").document(user.uid);
return docref.get();

Answer 1

在这种情况下，您需要以不同的方式处理 userId 变量。按照您编写的方式，规则是在用户的被阻止文档的Resource 对象中查找userId 属性，而不是userId 变量的值。您可能还想为get 调用提供一个合理的默认值。

同样，由于get() 调用返回Resource，您需要使用data 成员来获取Map 属性。

您可能还需要检查用户的被阻止文档是否确实存在，否则如果不存在，您的查询将失败。

service cloud.firestore {
    match /databases/{database}/documents {
        match /users/{userId} {
            allow read: if request.auth.uid != null
                && (!exists(/databases/$(database)/documents/blocked/$(request.auth.uid)) ||
                    get(/databases/$(database)/documents/blocked/$(request.auth.uid)).data.get(userId,0) != 1);
        }

        match /blocked/{fid} { // blocked collection/fid == owner firebase id
            allow read: if request.auth.uid == fid;
        }
    }
}

以上内容应该允许（鉴于您在问题中定义的/blocked）：

• 用户a1阅读/users/a1
• 用户a1阅读/users/a3
• 用户a2阅读/users中的任何文档

以上应该否认：

• 所有写入
• 用户a1阅读/users/a2

我只在模拟器中对上述内容进行了一些松散的验证。对于您最终使用的任何规则，我强烈建议您 write extensive tests。

最后，请记住security rules are not filters，所以这实际上取决于您如何使用它——any 可能匹配文档可能被拒绝的查询将拒绝整个查询。您描述问题的方式（使用规则让用户被拒绝访问他们已阻止的其他用户的文档）听起来像是在尝试过滤，而不是尝试保护数据。