Question

我的Cloud Firestore数据库中有以下规则：

service cloud.firestore {
  match /databases/{database}/documents {
    match /performances/{performanceId} {
      allow read, update, delete: if request.auth.uid == resource.data.owner;
      allow create: if request.auth.uid != null;
    }
  }
}

如果你拥有它，你可以读取和写入一个性能，或者如果你已经登录就可以创建一个性能。

此查询正常工作：

db.collection("performances").whereEqualTo(FieldPath.of("owner"), user.getUid())

但是，如果我想了解“场景”的内容。 subcollection我收到错误：＆＃34; com.google.firebase.firestore.FirebaseFirestoreException：PERMISSION_DENIED：权限丢失或不足。＆＃34; 这包含以下查询：

db.collection("performances")
            .document(performanceID)
            .collection("scenes");

我假设我需要将查询限制为类似以下内容，但这不会起作用，因为whereEqualTo的输出是Query而不是CollectionReference，因此我无法访问＆＃39;文档＆＃39; ：

db.collection("performances")
   .whereEqualTo(FieldPath.of("owner"), user.getUid())
   .document(performanceID)
   .collection("scenes");

那么，如果主要集合有安全规则，是否有人知道如何访问子集合？

更新1（因为代码未在下面的评论中进行格式化）

我想我可能想出一个解决方案。我没有意识到我的安全规则默认会拒绝从子集合中读取，因此更改它以允许对性能中的场景进行所有读取和写入使其正常工作：

service cloud.firestore {
      match /databases/{database}/documents {
        match /performances/{performanceId} {
      allow read, update, delete: if request.auth.uid == resource.data.owner;
      allow create: if request.auth.uid != null;

      match /scenes/{sceneId} {
        allow read, write: if true
      }
    }
  }
}

Answer 1

首先，请注意规则不会级联，因此您的解决方案实际上会打开所有scenes子集合中的所有文档，而不仅仅是父文档的所有者。

您需要使用规则中的get()方法检查父文档的权限。

service cloud.firestore {
   match /databases/{database}/documents {
      match /performances/{performanceId} {
         allow read, update, delete: if request.auth.uid == resource.data.owner;
         allow create: if request.auth.uid != null;

         function parentDoc() {
             return get(/databases/$(database)/documents/performances/$(performanceId)).data;
         }

         match /scenes/{sceneId} {
            allow read, write: if parentDoc().owner = request.auth.uid;
         }
      }
   }
}

在子集合规则中，我们使用先前捕获的路径段来查找我们需要检查的父文档。

最后，您可能也希望收紧create规则。目前，它允许某人创建由其他人（或没有人）拥有的文档。我怀疑你想要那个。通过检查请求者的id是否在传入文档中，您可以防止潜在的错误，这些错误允许创建用户无法读取的文档：

allow create: if request.auth.uid != null && request.auth.uid == request.resource.data.owner;

Firebase Firestore子集合安全查询

1 个答案: