ดูข้อมูลเกี่ยวกับไวยากรณ์หลักของภาษาของกฎความปลอดภัยของฐานข้อมูลแบบเรียลไทม์

กฎความปลอดภัยของ Firebase Realtime Database ช่วยให้คุณควบคุมการเข้าถึงข้อมูลที่จัดเก็บไว้ ในฐานข้อมูลได้ ไวยากรณ์ของกฎที่ยืดหยุ่นช่วยให้คุณสร้างกฎที่ตรงกับทุกอย่างได้ ตั้งแต่การเขียนทั้งหมดไปยังฐานข้อมูลไปจนถึงการดำเนินการในโหนดแต่ละรายการ

กฎความปลอดภัยของ Realtime Database คือการกำหนดค่าเชิงประกาศสำหรับฐานข้อมูล ซึ่งหมายความว่า กฎจะกำหนดแยกจากตรรกะของผลิตภัณฑ์ ซึ่งมีข้อดีหลายประการ ได้แก่ ไคลเอ็นต์ไม่ต้องรับผิดชอบในการบังคับใช้การรักษาความปลอดภัย การติดตั้งใช้งานที่มีข้อบกพร่องจะไม่ทำให้ข้อมูลของคุณตกอยู่ในความเสี่ยง และที่สำคัญที่สุดคือไม่จำเป็นต้องมีตัวกลาง เช่น เซิร์ฟเวอร์ เพื่อปกป้องข้อมูลจากภายนอก

หัวข้อนี้อธิบายไวยากรณ์และโครงสร้างพื้นฐานของกฎความปลอดภัยของ Realtime Database ที่ใช้สร้างชุดกฎที่สมบูรณ์

การจัดโครงสร้างกฎความปลอดภัย

กฎความปลอดภัยของ Realtime Database ประกอบด้วยนิพจน์ที่คล้ายกับ JavaScript ซึ่งอยู่ในเอกสาร JSON โครงสร้างของกฎควรเป็นไปตามโครงสร้างของข้อมูลที่คุณจัดเก็บไว้ในฐานข้อมูล

กฎพื้นฐานระบุชุดโหนดที่จะรักษาความปลอดภัย วิธีการเข้าถึง (เช่น อ่าน เขียน) ที่เกี่ยวข้อง และเงื่อนไขที่อนุญาตหรือปฏิเสธการเข้าถึง ในตัวอย่างต่อไปนี้ เงื่อนไขจะเป็นคำสั่ง true และ false แบบง่าย แต่ในหัวข้อถัดไป เราจะพูดถึงวิธีที่ซับซ้อนกว่าในการ แสดงเงื่อนไข

เช่น หากเราพยายามรักษาความปลอดภัยของ child_node ภายใต้ parent_node ไวยากรณ์ทั่วไปที่ต้องปฏิบัติตามคือ

{
  "rules": {
    "parent_node": {
      "child_node": {
        ".read": <condition>,
        ".write": <condition>,
        ".validate": <condition>,
      }
    }
  }
}

มาใช้รูปแบบนี้กัน ตัวอย่างเช่น สมมติว่าคุณกำลังติดตามรายการ ข้อความและมีข้อมูลลักษณะดังนี้

{
  "messages": {
    "message0": {
      "content": "Hello",
      "timestamp": 1405704370369
    },
    "message1": {
      "content": "Goodbye",
      "timestamp": 1405704395231
    },
    ...
  }
}

คุณควรกำหนดโครงสร้างกฎในลักษณะที่คล้ายกัน ต่อไปนี้คือกฎชุดหนึ่งสำหรับความปลอดภัยแบบอ่านอย่างเดียวที่อาจเหมาะสมกับโครงสร้างข้อมูลนี้ ตัวอย่างนี้แสดงวิธีระบุโหนดฐานข้อมูลที่ใช้กฎและเงื่อนไขสำหรับการประเมินกฎในโหนดเหล่านั้น

{
  "rules": {
    // For requests to access the 'messages' node...
    "messages": {
      // ...and the individual wildcarded 'message' nodes beneath
      // (we'll cover wildcarding variables more a bit later)....
      "$message": {

        // For each message, allow a read operation if <condition>. In this
        // case, we specify our condition as "true", so read access is always granted.
        ".read": "true",

        // For read-only behavior, we specify that for write operations, our
        // condition is false.
        ".write": "false"
      }
    }
  }
}

การดำเนินการตามกฎพื้นฐาน

กฎสำหรับการบังคับใช้ความปลอดภัยมี 3 ประเภทตามประเภทการดำเนินการที่ทำกับข้อมูล ได้แก่ .write, .read และ .validate ต่อไปนี้ เป็นข้อมูลสรุปสั้นๆ เกี่ยวกับวัตถุประสงค์ของคุกกี้เหล่านี้

ตัวแปรการจับภาพไวลด์การ์ด

คำสั่งกฎทั้งหมดชี้ไปยังโหนด คำสั่งสามารถชี้ไปยังโหนดที่เฉพาะเจาะจง หรือใช้$ไวลด์การ์ดตัวแปรการจับภาพเพื่อชี้ไปยังชุดของโหนดที่ ระดับของลำดับชั้น ใช้ตัวแปรการจับภาพเหล่านี้เพื่อจัดเก็บค่าของคีย์โหนด เพื่อใช้ภายในคำสั่งกฎที่ตามมา เทคนิคนี้ช่วยให้คุณเขียนRules เงื่อนไขที่ซับซ้อนมากขึ้นได้ ซึ่งเราจะอธิบายรายละเอียดเพิ่มเติมในหัวข้อถัดไป

{
  "rules": {
    "rooms": {
      // this rule applies to any child of /rooms/, the key for each room id
      // is stored inside $room_id variable for reference
      "$room_id": {
        "topic": {
          // the room's topic can be changed if the room id has "public" in it
          ".write": "$room_id.contains('public')"
        }
      }
    }
  }
}

นอกจากนี้ยังใช้ตัวแปร $ แบบไดนามิกร่วมกับชื่อเส้นทางแบบค่าคงที่ได้ด้วย ในตัวอย่างนี้ เราใช้ตัวแปร $other เพื่อประกาศ กฎ .validate ที่รับประกันว่า widget จะไม่มีองค์ประกอบย่อยอื่นนอกเหนือจาก title และ color การเขียนใดๆ ที่จะส่งผลให้มีการสร้างรายการย่อยเพิ่มเติมจะล้มเหลว

{
  "rules": {
    "widget": {
      // a widget can have a title or color attribute
      "title": { ".validate": true },
      "color": { ".validate": true },

      // but no other child paths are allowed
      // in this case, $other means any key excluding "title" and "color"
      "$other": { ".validate": false }
    }
  }
}

การเรียงซ้อนกฎการอ่านและการเขียน

กฎ .read และ .write จะทำงานจากบนลงล่าง โดยกฎที่ตื้นกว่าจะลบล้างกฎที่ลึกกว่า หากกฎให้สิทธิ์อ่านหรือเขียนที่ พาธใดพาธหนึ่ง กฎนั้นจะให้สิทธิ์เข้าถึง โหนดลูกทั้งหมดภายใต้พาธนั้นด้วย พิจารณาโครงสร้างต่อไปนี้

{
  "rules": {
     "foo": {
        // allows read to /foo/*
        ".read": "data.child('baz').val() === true",
        "bar": {
          /* ignored, since read was allowed already */
          ".read": false
        }
     }
  }
}

โครงสร้างความปลอดภัยนี้อนุญาตให้อ่าน /bar/ จากทุกครั้งที่ /foo/ มี baz ย่อยที่มีค่า true กฎ ".read": false ภายใต้ /foo/bar/ จะไม่มีผลในที่นี้ เนื่องจากเส้นทางย่อยไม่สามารถเพิกถอนสิทธิ์เข้าถึงได้

แม้ว่าอาจดูไม่ชัดเจนในทันที แต่ส่วนนี้เป็นส่วนที่มีประสิทธิภาพของภาษาของกฎ และช่วยให้สามารถใช้สิทธิ์การเข้าถึงที่ซับซ้อนมากได้โดยใช้ความพยายามเพียงเล็กน้อย เราจะอธิบายเรื่องนี้เมื่อพูดถึงการรักษาความปลอดภัยตามผู้ใช้ในภายหลังในคู่มือนี้

โปรดทราบว่า.validateกฎจะไม่เรียงซ้อนกัน กฎการตรวจสอบทั้งหมด ต้องเป็นไปตามข้อกำหนดในทุกระดับของลำดับชั้นเพื่อให้ระบบอนุญาตการเขียน

กฎไม่ใช่ตัวกรอง

ระบบจะใช้กฎในลักษณะที่เป็นหน่วยย่อย ซึ่งหมายความว่าการอ่านหรือเขียน จะล้มเหลวทันทีหากไม่มีกฎในตำแหน่งนั้นหรือในตำแหน่ง ระดับบนที่ให้สิทธิ์เข้าถึง แม้ว่าเส้นทางของไฟล์ย่อยที่ได้รับผลกระทบทั้งหมดจะเข้าถึงได้ แต่การอ่านที่ตำแหน่งของโฟลเดอร์หลักจะล้มเหลวโดยสิ้นเชิง ลองพิจารณาโครงสร้างต่อไปนี้

{
  "rules": {
    "records": {
      "rec1": {
        ".read": true
      },
      "rec2": {
        ".read": false
      }
    }
  }
}

หากไม่เข้าใจว่ากฎได้รับการประเมินแบบอะตอม คุณอาจคิดว่า การดึงเส้นทาง /records/ จะแสดงผล rec1 แต่ไม่แสดงผล rec2 แต่ผลลัพธ์ที่ได้จริงคือข้อผิดพลาด

var db = firebase.database();
db.ref("records").once("value", function(snap) {
  // success method is not called
}, function(err) {
  // error callback triggered with PERMISSION_DENIED
});

FIRDatabaseReference *ref = [[FIRDatabase database] reference];
[[_ref child:@"records"] observeSingleEventOfType:FIRDataEventTypeValue withBlock:^(FIRDataSnapshot *snapshot) {
  // success block is not called
} withCancelBlock:^(NSError * _Nonnull error) {
  // cancel block triggered with PERMISSION_DENIED
}];

var ref = FIRDatabase.database().reference()
ref.child("records").observeSingleEventOfType(.Value, withBlock: { snapshot in
    // success block is not called
}, withCancelBlock: { error in
    // cancel block triggered with PERMISSION_DENIED
})

FirebaseDatabase database = FirebaseDatabase.getInstance();
DatabaseReference ref = database.getReference("records");
ref.addListenerForSingleValueEvent(new ValueEventListener() {
  @Override
  public void onDataChange(DataSnapshot snapshot) {
    // success method is not called
  }

  @Override
  public void onCancelled(FirebaseError firebaseError) {
    // error callback triggered with PERMISSION_DENIED
  });
});

curl https://docs-examples.firebaseio.com/rest/records/
# response returns a PERMISSION_DENIED error

เนื่องจากการดำเนินการอ่านที่ /records/ เป็นแบบอะตอม และไม่มีกฎการอ่านที่ให้สิทธิ์เข้าถึงข้อมูลทั้งหมดภายใต้ /records/ การดำเนินการนี้จะทำให้เกิดข้อผิดพลาด PERMISSION_DENIED หากเราประเมินกฎนี้ในเครื่องจำลองความปลอดภัยในคอนโซล Firebase เราจะเห็นว่าระบบปฏิเสธการดำเนินการอ่านเนื่องจากไม่มีกฎการอ่านที่อนุญาตให้เข้าถึงเส้นทาง /records/ อย่างไรก็ตาม โปรดทราบว่าระบบไม่เคยประเมินกฎสำหรับ rec1 เนื่องจากไม่ได้อยู่ในเส้นทางที่เราขอ หากต้องการดึงข้อมูล rec1 เราจะต้องเข้าถึงโดยตรง

var db = firebase.database();
db.ref("records/rec1").once("value", function(snap) {
  // SUCCESS!
}, function(err) {
  // error callback is not called
});

FIRDatabaseReference *ref = [[FIRDatabase database] reference];
[[ref child:@"records/rec1"] observeSingleEventOfType:FEventTypeValue withBlock:^(FIRDataSnapshot *snapshot) {
    // SUCCESS!
}];

var ref = FIRDatabase.database().reference()
ref.child("records/rec1").observeSingleEventOfType(.Value, withBlock: { snapshot in
    // SUCCESS!
})

FirebaseDatabase database = FirebaseDatabase.getInstance();
DatabaseReference ref = database.getReference("records/rec1");
ref.addListenerForSingleValueEvent(new ValueEventListener() {
  @Override
  public void onDataChange(DataSnapshot snapshot) {
    // SUCCESS!
  }

  @Override
  public void onCancelled(FirebaseError firebaseError) {
    // error callback is not called
  }
});

curl https://docs-examples.firebaseio.com/rest/records/rec1
# SUCCESS!

ข้อความที่ทับซ้อนกัน

กฎมากกว่า 1 รายการอาจมีผลกับโหนดได้ ในกรณีที่นิพจน์ของกฎหลายข้อระบุโหนด ระบบจะปฏิเสธวิธีการเข้าถึงหากเงื่อนไขใดก็ตามเป็นfalse

{
  "rules": {
    "messages": {
      // A rule expression that applies to all nodes in the 'messages' node
      "$message": {
        ".read": "true",
        ".write": "true"
      },
      // A second rule expression applying specifically to the 'message1` node
      "message1": {
        ".read": "false",
        ".write": "false"
      }
    }
  }
}

ในตัวอย่างข้างต้น ระบบจะปฏิเสธการอ่านโหนด message1 เนื่องจากกฎที่ 2 เป็น false เสมอ แม้ว่ากฎแรกจะเป็น true เสมอ

ขั้นตอนถัดไป

คุณสามารถทำความเข้าใจกฎการรักษาความปลอดภัยของ Firebase Realtime Database ให้ลึกซึ้งยิ่งขึ้นได้โดยทำดังนี้

• ดูแนวคิดหลักถัดไปของภาษา Rules ซึ่งก็คือเงื่อนไขแบบไดนามิก ซึ่งช่วยให้ Rules ตรวจสอบการให้สิทธิ์ผู้ใช้ เปรียบเทียบข้อมูลที่มีอยู่กับข้อมูลที่เข้ามา ตรวจสอบข้อมูลที่เข้ามา ตรวจสอบ โครงสร้างของคําค้นหาที่มาจากไคลเอ็นต์ และอื่นๆ

• ตรวจสอบกรณีการใช้งานด้านความปลอดภัยทั่วไปและคำจำกัดความของกฎการรักษาความปลอดภัยของ Firebase ที่ใช้จัดการกับกรณีดังกล่าว