验证火库实时网址是否来自火库存储

Question

所以我在我的网站上有一个功能，允许用户上传个人资料照片。照片存储在我的 Firebase 存储中 UID 下的文件夹中，然后一旦成功上传，下载 URL 就会存储在我的 Firebase 实时数据库中的 UID 下，如下所示：

database.ref('users/'+firebase.auth().currentUser.uid).update({
profilePhoto: downloadURL
});

现在我已经有了一些规则，只有auth UID可以将数据写入自己。

{
"rules": { 
 "users": {
  ".read": "true",
  "$user": {
   ".read": "true",
   ".write": "auth.uid == $user",
    "profilePhoto": {
     ".validate": "newData.isString()
    },  
  }
 }
}
}

工作得很好，但是我怎样才能让它只写出直接来自我的Firebase存储的URL？

例如，有知识的用户可以简单地运行上面的脚本，将数据更改为存储之外的内容，或者只是一些随机的文本，当我获取它时会破坏配置文件图像。

我想做的一件事是添加Firebase存储“基本路径”作为验证，如下所示:

"profilePhoto": {
 ".validate": "newData.isString()
 && newData.val().contains('mystorage-12345.appspot.com/') 
}

但是有没有更好的方法来做到这一点？“基本路径”会改变吗？

Answer 1

没有任何规则组合可以用来阻止用户链接到恶意文件或输入乱码。既然你愿意接受更好的方法，这就是我处理上传的标准模式。

首先，确定个人资料照片的URL结构，其中照片将以易于猜测的格式存储在您的存储桶中。我的偏好是：/u/

第二，为你的用户提供一个签名的URL来上传他们的图片。这可能是在一个单独的桶中，当一个新的对象出现时，触发一个函数调整照片的大小，然后将调整大小的照片移动到< code>/u/

最后，不需要存储个人资料照片的URL，因为任何用户的个人资料都可以这样显示：

<img src="https://<bucketUrl>/u/<uid>/profile_512x512.jpg" onerror="this.src=' + "/img/default-profile.jpg" + '" />

这里发生的事情是它首先尝试使用可猜测的/u/加载用户的个人资料照片

优势

1. 由于数据库读取、写入和存储更少，成本更低。
2. 简单、快速、可靠。
3. 内置故障转移功能，以防因任何原因无法访问存储桶。