Firebase，不安全规则

Question

我最近收到一封来自Firebase的电子邮件，告诉我我的数据库（FiRest）的规则不安全，所以我将它们更改为以下内容：

rules_version = '2';
service cloud.firestore {
  match / databases / {database} / documents {
    match / {document = **} {
     allow read: if true;
    allow write: if request.auth.uid != null;
    }
  }
}

在我有这些规则之前：

allow read, write: if true;

在做出改变后，电子邮件不断地回来，我不知道还能做什么。我已经尝试了以下链接中给出的几个选项，但它们都不能满足我的需要。

https://firebase.google.com/docs/rules/insecure-rules#firestore

我需要授权用户能够阅读和创建内容。所以使用我上面的规则。

我在他们发给我的电子邮件中看到，它说人们可以修改我的数据库，这是指从应用程序，还是意味着他们可以攻击我或其他什么？

因为我的应用程序的目的是用户可以创建内容。

但我不想有人侵入我的数据库并删除所有内容，这可能吗？

谢谢

Answer 1

留档中提到了这种情况。任何经过身份验证的用户都可以写入您的数据库，这也包括删除数据。您正在使用递归通配符，使他们能够访问完整的数据库。

取而代之的是，尝试允许用户只编写自己的文档或类似的规则。

rules_version = '2';
service cloud.firestore {
  match / databases / {database} / documents {
    match /collectionName/{docId} {
     allow read: if true;
    allow write: if request.auth != null && request.auth.uid == docId;
    }
  }
}

上面的示例将允许用户编辑文档ID仅等于其UID的文档。

如果希望允许选定的用户写入（例如admin），则可以添加一个名为admin的字段，并在用户集合中的用户文档中将其设置为true。然后可以读取文档数据，如图所示：

match /collection/{document} {
      allow write: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.admin == true;
      allow read: true;
    }

Answer 2

电子邮件是因为规则并不严格。你可能应该使用以下规则：

1. 允许未经身份验证的用户读取数据

service cloud.firestore {
  match /databases/{database}/documents {
    // Allow public read access, but only content owners can write
    match /some_collection/{document} {
      allow read: if true
      allow create: if request.auth.uid == request.resource.data.author_uid;
      allow update, delete: if request.auth.uid == resource.data.author_uid;
    }
  }
}

阅读这篇文章以获得更好的理解。您还可以在这里检查fi恢复何时将规则标记为不安全。更重要的是，这是要强调的一点。

请记住，Firebase允许客户端直接访问您的数据，而Firebase安全规则是阻止恶意用户访问的唯一保障措施。将规则与产品逻辑分开定义有许多优势：客户端不负责实施安全性，错误的实施不会危及您的数据，最重要的是，您不需要依赖中间服务器来保护数据免受外界的攻击。

示例规则：

service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userDoc} {
      allow read: if true
      allow create: if request.auth.uid == request.resource.data.id;
      allow update, delete: if request.auth.uid == resource.data.id;
    }

    match /posts/{postDoc} {
      allow read: if true
      allow create: if request.auth.uid != null;
      allow update, delete: if request.auth.uid == resource.data.user_id;
    }

    match /comments/{commentDoc} {
      allow read: if true
      allow create: if request.auth.uid != null;
      allow update, delete: if request.auth.uid == resource.data.user_id;
    }
  }
}