禁止用户修改Firebase中的数据，但允许应用程序更新此数据

Question

我用GatsbyJS(React)+Firebase创建了一个应用程序。

用户有一个分数保存在Firebase实时数据库与他们的数据。

{
  users: {
    $uid: {
      score: 10,
      name: "Antho",
      ...
    }
  }
}

我不希望用户能够自己更改他们的分数，所以我像这样拆分我的数据库：

{
  users: {
    $uid: {
      name: "uciska",
      ...
    }
  },
  scores: {
    $uid: {
      score: 10
    }
  }
}

Answer 1

如果您不希望您的用户能够编写分数，您可以简单地使用以下规则：

{
  "rules": {
    "users": {
      "$uid": {
        ".write": "auth.uid == $uid"
      }
    }
    "scores": {
      ".write": false // this is not strictly needed, since the default is false
    }
  }
}

这样，每个用户都可以在/users/$uid下编写自己的节点，没有用户可以编写任何分数。

接下来，您需要在受信任的环境中使用Firebase Admin SDK来编写分数。受信任的环境是您控制访问的东西，例如服务器、开发机器或云功能。在云函数中运行或以其他方式使用Admin SDK的代码具有管理权限，这意味着它绕过了安全规则。以便代码可以读/写整个数据库，包括分数。