为组安全向Firebase存储添加令牌

Question

对于我们的应用程序，我们需要能够提供团体访问文件。每个用户可能拥有大量的组，因此使用“自定义令牌”解决方案是没有意义的（无论如何，这是非常尴尬的）。

我发现，Firebase的存储安全规则非常有限。主要问题是，我们将组定义保留在存储安全规则无法访问的Firestore中。

为了克服这个问题，我们决定在每个上传文件的元数据中包含一个“令牌”，组中的任何人都可以访问这个令牌。当他们下载一个文件时，他们需要在请求参数中提供这个令牌（例如/groups/xxx/filename.jpg？token=abc)。

match /groups/{groupId}/{filename} {
        allow read: if request.auth != null && request.params.token == resource.metadata.token;
        allow write: if request.auth.uid == userId
                    && request.resource.size < 1 * 1024 * 1024
                    && request.resource.contentType.matches('image/.*')
                    && (resource == null || request.resource.contentType == resource.contentType)
                    && imageId.size() < 32
     ;
}

Answer 1

由于Firebase查询存储中的Firestore数据的能力受到严重限制，并且有关Request.param不可用的文档不正确，我们不得不使用一种不同的方法。

我们决定在查询组的文件时使用以下URL：

/groups/{groupId}/{token}/{filename}