Firestore规则 - 仅返回的列表集合

Question

我知道这个问题的答案是：Firebase规则不是过滤系统！ 但是我已经（对于带房间的聊天应用程序），我对安全性有问题。

房间集合

• ...有关房间的信息...
• 参与者：[ID1，ID2，ID3]
• 消息子汇编

当用户打开房间视图时，他只能看到房间当他的ID在“参与者”阵列中时。 我可以通过查询执行它，并且所有工作都很好，但是...

有没有办法拒绝所有集合上的列表操作以避免用户可以看到所有用户的所有房间？我知道我可以使用函数来限制访问权限，但是我想知道是否有一些方法可以使用Firestore规则进行操作。

我的安全规则：

prule_version ='2'; 服务cloud.firestore { match/databases/{database}/documents {

function authed() {
  return request.auth.token.firebase.sign_in_provider == 'password' && request.auth != null && request.auth.token != null && request.auth.token.email != null;
}

function dataExists() {
  return resource != null && resource.data != null;
}

function isConversationVisible() {
  return dataExists() && resource.data.visible == true
}

function userInConversation() {
  let email = request.auth.token.email;
  return dataExists() && email in resource.data.participants;
}

function userInConversationUsingGet(convId) {
  let email = request.auth.token.email;
  let conv = get(/databases/$(database)/documents/conversations/$(convId));
  return email in conv.data.participants;
}

match /conversations/{convId} {
  allow create, delete, update: if false;
  allow list, get: if authed() && isConversationVisible() && userInConversation();

  match /messages/{messageId} {
    allow create, read, list: if userInConversationUsingGet(convId);
    allow delete, update: if false;
  }
}

} }

和我的Java代码对其进行测试：

NOT WORKS
sChatQuery = sChatCollection
                .whereArrayContains("participants", "[email protected]")
                .whereEqualTo("type", type)
                .whereEqualTo("visible", true)
                .orderBy("timestamp", Query.Direction.DESCENDING);

NOT WORKS
FirebaseFirestore.getInstance()
                .collection("conversations")
                .get(Source.SERVER)

两个摘要都返回许可证。

我的Firestore的一个例子：

conversations
-- 61a8ec6c99791eb2f7ab5c69
---- participants ["[email protected]", "[email protected]", "[email protected]"]
-- 61a8ec6c99777sjskny77ahw
---- participants ["[email protected]", "[email protected]"]
-- 61a8ec6c9977718881666618
---- participants ["[email protected]"]

更新 我想查询失败是因为“

Answer 1

我不确定我是否正确理解您，但是如果您要禁止任何列出所有集合的人，则可以删除list权限，并且只允许get操作。有关此的更多信息，请参见允许granular操作。

如果要允许用户获得限制列表，则需要在安全规则中编码查询中的状况。因此，您必须检查request.auth.uid是否存在于参与者要请求的文档的数组中。

注意：我本人尚未测试过这种特定方案，但是规则引擎通常能够静态地确定该代码要求其授权执行的数据。

---

更新

在您共享的代码中，您正在尝试阅读整个集合：

FirebaseFirestore.getInstance().collection("conversations")

firebase的安全规则不会过滤数据，而仅确保代码仅要求授权其授权文档。因此，您必须在查询和中过滤，然后在规则中检查该条件。