具有查询权限的Firestore安全规则“exists（）”

Question

users
  userUid
    { userData }
  ...
groups
  groupID
    { groupData }
    members
      member1uid
        { memberData }
      ...
    messages
      message1
        { messageData }
      ...

function isMemberOfGroup(groupId) {
  return exists(/databases/$(database)/documents/groups/$(groupId)/members/$(request.auth.uid))
}

match /groups/{groupId} {
  allow read: if isMemberOfGroup(groupId)
}

问题是我不能使用具有这些规则的查询，因为（我发现）无法根据子集合是否包含某个文档进行查询。这意味着我不能列出某个用户所属的所有组。我尝试在作为groupdata一部分的映射中列出所有用户，但我无法设置谁可以编辑文档的某些部分的权限，因此这也不起作用。

编辑：据我所知，查询必须以某种方式与规则匹配，否则权限将被拒绝。如何创建一个查询来收集某个用户所在的所有组并满足此规则。

Answer 1

Firebase安全规则不会自己过滤数据。相反，它们决定允许哪些读操作/查询。

因此，如果成员只能读取他们所属的组，则像firebase.firestore().collection('groups').get()这样的读取将永远不会起作用。

您将始终必须在查询中复制“仅限成员”逻辑。只有当关于成员资格的数据在文档本身中时，这才是可能的，因为单个查询/读取只能从单个集合/组中读取。由于在您的数据结构中，授权所依赖的数据位于不同的集合中，我认为您不能安全地查询它，尽管您可以保护对单个文档的访问。