Firebase安全和规则

Question

简单介绍一下，我正在尝试了解Firebase安全协议，我已经建立了一个名为UsersDB的数据库，该数据库将根据身份验证存储详细信息。uid。详细信息包括全名、电子邮件、提供商、帐户创建日期、上次登录日期。

我设置了如下规则：

{
  "rules": {
    ".read": "auth != null", // only authed users can read/write
    ".write": "auth != null",
    "UsersDB": {
      "$uid": {
        ".read": "auth.uid == $uid", // users can read/write their own data
        ".write": "auth.uid == $uid"
      }
    }
  }

我的理解是，记录只能由user_id符合auth.uid.的人读写

我的问题是我做得对吗？如果不对，我应该如何实现这一目标？我只希望创建帐户的人能够读写这个，而没有其他uid来访问信息。

最后，作为firebase帐户的管理员。我会考虑创建一个管理控制台类型的软件，允许我访问存储的所有数据。我将如何更改或更新规则，以允许管理员登录访问上述数据。我是否会更改对任何人的读取权限（尽管在我看来，这似乎会在规则中留下漏洞），或者是否有方法声明一条规则，允许我（管理员）对所有数据进行完全读取访问？

谢谢

Answer 1

您忽略了Firebase留档中指定权限级联的一个非常重要的部分：

安全和FIREBASE规则自上而下工作

子规则只能向父节点已声明的内容授予附加权限。他们不能撤销读或写权限。

由于您的顶级读写规则已经允许任何经过身份验证的用户读取/写入所有帐户，因此您不能撤销树中较低的特权。

幸运的是，在您的场景中不需要授予这些更高级别的权限。

{
  "rules": {
    "UsersDB": {
      "$uid": {
        ".read": "auth.uid == $uid",
        ".write": "auth.uid == $uid"
      }
    }
  }
}

有了它，每个用户只能读写自己的数据。

请记住，Firebase规则不是过滤器。使用上面的结构，没有用户可以查询/UsersDB，因为没有人拥有那里的读取权限。