具有动态路径的安全规则

Question

假设我有一个结构如下的数据库：

• 权限

• $uId
  • 姓名
  • $rId

  是否可以编写一条规则，说明“如果存在权限p，允许用户修改文件室，其中p.userId=auth.uid和p.roomId=$rId和p.permission='admin'”？

  据我所知，没有在每个房间下嵌套许可信息是不可能的。

Answer 1

你需要改变一下你的结构。与其使用推送id来标识权限，不如使用更受控制的结构。例如：

"Permissions": {
  "roomId": {
    "userId": "role"
  }
}

现在，您可以随心所欲地保护房间：

{
  "rules": {
    "Room": {
      "$rId": {
        ".write": "root.child('Permissions').child($rId).child(auth.Id).val() == 'admin'"
      }
    }
  }
}

另外一个优点是，如果你想撤销用户的权限，你不必扫描所有的权限。