我如何制定firebase规则，允许auth用户阅读所有文档，但只创建自己的用户文档，而不给自己管理权限？

Question

我正在与firebase安全规则作斗争，我可以让它的一部分工作，但当我试图将它连接在一起时，我有问题。
我希望我的规则做到以下几点：

>

如果经过身份验证，允许读取所有文档

function getRole(role) {
    return get(/databases/$(database)/documents/users/$(request.auth.uid)).data.roles.hasAny([role]);
  }

这里是什么我有，不包括用户能够创建他们自己的用户帐户。它只允许管理员写任何文档。

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
  function getRole(role) {
    return get(/databases/$(database)/documents/users/$(request.auth.uid)).data.roles.hasAny([role]);
  }
    match /{document=**} {
      allow read: if true;
      allow write: if getRole('admin') == true;
    }
  }
}

下面是我试图添加的内容，以允许用户创建他们的用户文档。它似乎没有级联到下一个规则，它尝试match/{document=**}路径中的getRole，发现用户不是管理员，所以失败了。我尝试重新排序并将/users/path放置在上面，它很好地通过了该路径，然后执行相同的操作，在/{document=**}路径中的getRole上再次失败。我还尝试指定文档名称，而不是使用通配符，这似乎不允许任何get或write。你能给我指个正确的方向吗？

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
  function getRole(role) {
    return exists(/databases/$(database)/documents/users/$(request.auth.uid)) && get(/databases/$(database)/documents/users/$(request.auth.uid)).data.roles.hasAny([role]);
  }
    match /{document=**} {
      allow read: if true;
      allow write: if getRole('admin') == true;
    }
    match /users/{userId}{
      allow read: if  request.auth.uid != null;
      allow create: if getRole('admin') == true ||  request.auth.uid == userId  &&
            !(getAfter(/databases/$(database)/documents/users/$(request.auth.uid)).data.roles.hasAny(["admin"]));
      allow update: if getRole('admin') == true ||  request.auth.uid == userId  && exists(/databases/$(database)/documents/users/$(request.auth.uid)) == true && !(getAfter(/databases/$(database)/documents/users/$(request.auth.uid)).data.roles.hasAny(["admin"]));
      }
  }
}

Answer 1

事实证明，除非使用match/{document=**}，否则我不能允许admin动态创建未在安全规则中定义的集合，因为它将这些规则应用于每个路径，而不是所需的结果。我能够很容易地设置规则来完成其他部分，如下所示：

service cloud.firestore {
  match /databases/{database}/documents {
   function getRole(role) {
    return get(/databases/$(database)/documents/users/$(request.auth.uid)).data.roles.hasAny([role]);
  }
    match /users/{userId} {
      allow read: if request.auth.uid != null;
      allow create: if request.auth.uid == userId && request.resource.data.roles.hasAny(["admin"]) == false;
    }
    match /collectionName/{collectionNameId} {
      allow read: if request.auth.uid != null;
      allow write: if request.auth.uid != null && getRole('admin') == true;
    }
  }
}