如何基于用户配置文件配置Firebase安全规则？

Question

我读过消防安全规则文件。我已经通过Firebase（Firebase Auth）实现了身份验证，但我无法理解如何根据每个用户的配置文件在Firebase中正确配置安全规则。

考虑以下数据结构

{
    "company": {
        "idCompany1": {
            "data": {
                "address": "",
                "companyName": "Company 1",
                "logo": "assets/ApliansLogo.png",
                "nit": "",
                "phone": ""
            },
            "users": {
                "idUser1": {
                    "idCompany": "idCompany1",
                    "idUser": "idUser1",
                    "name": "Charlie",
                    "profile": "Admin"
                },
                "idUser2": {
                    "idCompany": "idCompany1",
                    "idUser": "idUser2",
                    "name": "John",
                    "profile": "Basic"
                },
                "idUser3": {
                    "idCompany": "idCompany1",
                    "idUser": "idUser3",
                    "name": "Jack",
                    "profile": "Basic"
                }
            }
        },
        "idCompany2": {
            "data": {
                "address": "",
                "companyName": "Company 2",
                "logo": "assets/ApliansLogo.png",
                "nit": "",
                "phone": ""
            },
            "users": {
                "idUser3": {
                    "idCompany": "idCompany2",
                    "idUser": "idUser3",
                    "name": "Jack",
                    "profile": "Admin"
                }
            }
        }
    },
    "users": {
        "idUser1": {
            "data": "[e-mail]",
            "empresas": {
                "idCompany1": true
            }
        },
        "idUser2": {
            "data": "[e-mail]",
            "empresas": {
                "idCompany1": true
            }
        },
        "idUser3": {
            "data": "[e-mail]",
            "empresas": {
                "idCompany1": true,
                "idCompany2": true
            }
        }
    }
}

用户只能在其所属的公司中读取或写入信息(users/$iduser/companis/$idcompany==true)

规则2

只有公司X的管理用户可以让另一个用户访问他的公司，对于该公司，idcompanyx:true是在users/$iduser/companies内的应用程序中创建的。

只有同一个用户或管理员才能在用户中创建或修改用户的数据

我已经阅读了实时数据库规则中的使用条件，但我不确定如何做到这一点。该应用程序的alghoritms处理不同的角色，但我想添加数据库安全层，我不知道如何做到这一点。目前我只配置了：

{
  "rules": {
    "company" : {
      ".read": "auth != null",
      ".write": "auth != null",
        }
      }
    },
    "users" : {
      "$user_id" : {
        ".read": "auth != null",
        ".write": "auth.uid === $user_id"           
  }
}

如何根据每个用户的身份验证和配置文件配置Firebase安全规则？

Future<EmpresaDatosModel> cargarEmpresaDatosListado(String idCompany) async {
    
   Query resp = db.child('company/$idCompany/data');
   resp.onChildAdded.forEach((element) {
      final temp = EmpresaDatosModel.fromJson(Map<String,dynamic>.from(element.snapshot.value));
    });
    await resp.once().then((snapshot) {});
    return temp;
}

db.child('company/$idCompany/data')
    .update(Map<String, dynamic>.from(_map));

Answer 1

要认识到的最重要的事情是规则不会过滤数据。

这意味着这个读数不适用于您的用例：

Query resp = db.child('company');
resp.onChildAdded.forEach((element) {
  ...

原因是，这要求用户对/company具有完全的读取权限，而您的用例不允许这样做。

null

因此，您似乎不能在当前数据结构上允许您的安全需求。这意味着您可能必须修改您的数据结构以允许您想要的安全模型。这可能意味着在数据库中使用该公司的JSON复制关于谁在该公司的数据。