firebase - Firestore 动态更新安全规则

Question

想象一下我们有聊天应用程序，在这个应用程序中，我们有很多房间，有些是私人的，有些是供所有人使用的。每个房间都有一个管理员可以管理用户（可以邀请和删除）。只有房间的成员可以读写消息。管理员是在这种情况下创建房间的人。

我想在创建房间时创建安全规则并在 membersChange 上更新它，这样只有成员才能读取和写入留言板的内容。

在这种情况下，这就是它的样子：

databse/rooms/
             private1 
                admin: memberX
                members: member1, member2
                //only admin can write into members fields
                messages
                    message1...
                    message2...
                    message3...
                //only members can write and read messages

             private2 
                admin: memberXY
                members: member1, member4
                //only admin can write into members fields
                messages
                    message1...
                    message2...
                    message3...
                //only members can write and read messages

那么是否可以从云功能创建和更新安全规则，而不是在 Firebase 控制台中手动更新它们？或者有什么方法可以自动化这个过程？

我注意到我可以使用 CLI 部署安全规则。这里的流程应该是什么？我什么时候调用它？如何从数据库中获取成员？

编辑： 对于任何想要更多信息的人，请查看如何在 Firebase 中构建安全应用程序

标签： firebasegoogle-cloud-firestorefirebase-security

Answer 1

我会重新考虑这个模型。我看到了几种可行的方法，而不是一直更新安全规则：

选项1

您可以保存哪些用户可以访问 Firestore 上的特定房间，然后在安全规则上您可以访问该房间的文档，并查看经过身份验证的用户是否在授权用户列表中。这样做的问题是成本，因为这将为每个操作触发额外的数据库读取，这可能会变得昂贵。

选项 2

您可以使用云功能为用户创建自定义声明，如下所示：

admin.auth().setCustomUserClaims(uid, {"rooms": "room1,room2"})

然后在安全规则上，您可以检查用户是否拥有对特定房间的声明：

match /rooms/{roomId} {
  allow read: if roomId in request.auth.token.rooms.split(',');
}

我相信您也可以直接将索赔保存为数组，但我没有测试过。

对于此选项，您需要考虑令牌的大小，它有一个限制，如果它太大可能会导致性能问题。根据您的方案，您可以创建一组较小的权限，然后将这些权限设置为房间和用户。

选项 3

您可以保存可以访问每个文档的用户的 uid，然后检查该文档中是否存在经过身份验证的用户的 uid。但是，如果您有太多用户，这可能会失控。

如果对您的情况有意义，我会选择选项 2。或者，您可以将这些技术中的一种以上结合起来。我的想法是展示一些可能性，以便您可以选择适合您的方法。