Android | Firestore规则|检查用户名

Question

我想检查用户的用户名和电话号码是否唯一。我已经用FirebaseFirestore实现了它。getInstance（）。集合（“用户”）。whereEqualTo（“电话”，ph）。get（）。addOnCompleteListener（…）

这是我的firestore规则：

service cloud.firestore {
  match /databases/{database}/documents {
        match /{document=**} {
        allow read: true;
        allow write: if request.auth.uid != null;
        }
      match /Users/{userID} {
            allow update: if request.auth.uid == userID 
                && (request.resource.data.username == resource.data.username
               || isUserNameAvailable(request.resource.data.username)
            );
        }
  }

代码运行良好，没有问题。我在使用signInWithCredential方法和请求之前检查这个。啊。uid将始终为空。要使代码工作，我必须保持allow read:true

我们检测到您的安全规则存在以下问题：任何用户都可以读取您的整个数据库

有什么办法可以防止这种情况发生吗？




Answer 1

这是开发人员在使用用户名时经常犯的错误。你允许任何人阅读你的整个数据库。即使你成功地将其设置为只读取用户任何人都可以读取你所有的用户数据。

我建议删除第一个allow read:true，并按原样为每个路径编写规则。另外，只为用户名创建一个单独的集合，并将它们全部保存在那里，比如/usernames/${username}和/phones/${phone}。如果需要一起保存，你可以这样做。

这样，您可以非常容易地检查，而无需任何查询，如果用户名或电话存在，只需检查该路径是否存在于您的数据库中。

您可以非常轻松地将users集合与这两个集合同步，甚至可以编写安全规则，防止在集合中创建具有已存在于usernames集合中的username的用户。