Trang này xây dựng dựa trên các khái niệm trong Cấu trúc quy tắc bảo mật và Viết điều kiện cho Quy tắc bảo mật để giải thích cách Quy tắc bảo mật của Cloud Firestore tương tác với các truy vấn. Nó xem xét kỹ hơn cách các quy tắc bảo mật ảnh hưởng đến các truy vấn mà bạn có thể viết và mô tả cách đảm bảo các truy vấn của bạn sử dụng các ràng buộc giống như các quy tắc bảo mật của bạn. Trang này cũng mô tả cách viết quy tắc bảo mật để cho phép hoặc từ chối truy vấn dựa trên các thuộc tính truy vấn như limit
và orderBy
.
Quy tắc không phải là bộ lọc
Khi viết truy vấn để truy xuất tài liệu, hãy nhớ rằng các quy tắc bảo mật không phải là bộ lọc—các truy vấn là tất cả hoặc không có gì. Để tiết kiệm thời gian và tài nguyên cho bạn, Cloud Firestore đánh giá một truy vấn dựa trên tập hợp kết quả tiềm năng thay vì các giá trị trường thực tế cho tất cả các tài liệu của bạn. Nếu một truy vấn có khả năng trả về các tài liệu mà máy khách không có quyền đọc, toàn bộ yêu cầu sẽ không thành công.
Truy vấn và quy tắc bảo mật
Như các ví dụ dưới đây chứng minh, bạn phải viết các truy vấn của mình để phù hợp với các ràng buộc của quy tắc bảo mật của bạn.
Bảo mật và truy vấn tài liệu dựa trên auth.uid
Ví dụ sau minh họa cách viết truy vấn để truy xuất tài liệu được bảo vệ bởi quy tắc bảo mật. Hãy xem xét một cơ sở dữ liệu chứa một tập hợp các tài liệu story
:
/câu chuyện/{câu chuyện}
{
title: "A Great Story",
content: "Once upon a time...",
author: "some_auth_id",
published: false
}
Ngoài các trường title
và content
, mỗi tài liệu lưu trữ các trường author
và published
để sử dụng để kiểm soát truy cập. Những ví dụ này giả sử ứng dụng sử dụng Xác thực Firebase để đặt trường author
thành UID của người dùng đã tạo tài liệu. Xác thực Firebase cũng điền biến request.auth
trong quy tắc bảo mật.
Quy tắc bảo mật sau sử dụng các biến request.auth
và resource.data
để hạn chế quyền truy cập đọc và ghi cho mỗi story
đối với tác giả của nó:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{storyid} {
// Only the authenticated user who authored the document can read or write
allow read, write: if request.auth != null && request.auth.uid == resource.data.author;
}
}
}
Giả sử rằng ứng dụng của bạn bao gồm một trang hiển thị cho người dùng danh sách các tài liệu story
mà họ là tác giả. Bạn có thể mong đợi rằng bạn có thể sử dụng truy vấn sau đây để điền vào trang này. Tuy nhiên, truy vấn này sẽ không thành công vì nó không bao gồm các ràng buộc giống như các quy tắc bảo mật của bạn:
Không hợp lệ : Các ràng buộc truy vấn không khớp với các ràng buộc quy tắc bảo mật
// This query will fail
db.collection("stories").get()
Truy vấn không thành công ngay cả khi người dùng hiện tại thực sự là tác giả của mọi tài liệu story
. Lý do cho hành vi này là khi Cloud Firestore áp dụng các quy tắc bảo mật của bạn, nó sẽ đánh giá truy vấn dựa trên tập kết quả tiềm năng chứ không dựa trên các thuộc tính thực tế của tài liệu trong cơ sở dữ liệu của bạn. Nếu một truy vấn có khả năng bao gồm các tài liệu vi phạm quy tắc bảo mật của bạn, thì truy vấn đó sẽ không thành công.
Ngược lại, truy vấn sau đây thành công vì nó bao gồm cùng một ràng buộc trên trường author
như các quy tắc bảo mật:
Hợp lệ : Các ràng buộc truy vấn khớp với các ràng buộc quy tắc bảo mật
var user = firebase.auth().currentUser;
db.collection("stories").where("author", "==", user.uid).get()
Bảo mật và truy vấn tài liệu dựa trên một trường
Để chứng minh thêm về sự tương tác giữa các truy vấn và quy tắc, các quy tắc bảo mật bên dưới mở rộng quyền truy cập đọc cho tuyển tập stories
để cho phép mọi người dùng đọc tài liệu story
trong đó trường published
được đặt thành true
.
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{storyid} {
// Anyone can read a published story; only story authors can read unpublished stories
allow read: if resource.data.published == true || (request.auth != null && request.auth.uid == resource.data.author);
// Only story authors can write
allow write: if request.auth != null && request.auth.uid == resource.data.author;
}
}
}
Truy vấn cho các trang đã xuất bản phải bao gồm các ràng buộc giống như các quy tắc bảo mật:
db.collection("stories").where("published", "==", true).get()
Ràng buộc truy vấn .where("published", "==", true)
đảm bảo rằng resource.data.published
là true
với bất kỳ kết quả nào. Do đó, truy vấn này đáp ứng các quy tắc bảo mật và được phép đọc dữ liệu.
OR
truy vấn
Khi đánh giá một truy vấn logic OR
( or
, in
hoặc array-contains-any
) dựa trên một bộ quy tắc, Cloud Firestore sẽ đánh giá riêng từng giá trị so sánh. Mỗi giá trị so sánh phải đáp ứng các ràng buộc quy tắc bảo mật. Ví dụ, đối với quy tắc sau:
match /mydocuments/{doc} {
allow read: if resource.data.x > 5;
}
Không hợp lệ : Truy vấn không đảm bảo rằng x > 5
cho tất cả các tài liệu tiềm năng
// These queries will fail
query(db.collection("mydocuments"),
or(where("x", "==", 1),
where("x", "==", 6)
)
)
query(db.collection("mydocuments"),
where("x", "in", [1, 3, 6, 42, 99])
)
Hợp lệ : Truy vấn đảm bảo rằng x > 5
cho tất cả các tài liệu tiềm năng
query(db.collection("mydocuments"),
or(where("x", "==", 6),
where("x", "==", 42)
)
)
query(db.collection("mydocuments"),
where("x", "in", [6, 42, 99, 105, 200])
)
Đánh giá các ràng buộc đối với các truy vấn
Các quy tắc bảo mật của bạn cũng có thể chấp nhận hoặc từ chối các truy vấn dựa trên các ràng buộc của chúng. Biến request.query
chứa các limit
, offset
và orderBy
của truy vấn. Ví dụ: các quy tắc bảo mật của bạn có thể từ chối mọi truy vấn không giới hạn số lượng tài liệu tối đa được truy xuất trong một phạm vi nhất định:
allow list: if request.query.limit <= 10;
Bộ quy tắc sau đây trình bày cách viết các quy tắc bảo mật để đánh giá các ràng buộc được đặt trên các truy vấn. Ví dụ này mở rộng bộ quy tắc stories
trước đó với các thay đổi sau:
- Bộ quy tắc tách quy tắc đọc thành các quy tắc
get
vàlist
. - Quy tắc
get
hạn chế việc truy xuất các tài liệu đơn lẻ đối với tài liệu công khai hoặc tài liệu do người dùng tạo. - Quy tắc
list
áp dụng các hạn chế giống nhưget
nhưng đối với các truy vấn. Nó cũng kiểm tra giới hạn truy vấn, sau đó từ chối bất kỳ truy vấn nào không có giới hạn hoặc có giới hạn lớn hơn 10. - Bộ quy tắc xác định một hàm
authorOrPublished()
để tránh trùng lặp mã.
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{storyid} {
// Returns `true` if the requested story is 'published'
// or the user authored the story
function authorOrPublished() {
return resource.data.published == true || request.auth.uid == resource.data.author;
}
// Deny any query not limited to 10 or fewer documents
// Anyone can query published stories
// Authors can query their unpublished stories
allow list: if request.query.limit <= 10 &&
authorOrPublished();
// Anyone can retrieve a published story
// Only a story's author can retrieve an unpublished story
allow get: if authorOrPublished();
// Only a story's author can write to a story
allow write: if request.auth.uid == resource.data.author;
}
}
}
Truy vấn nhóm bộ sưu tập và quy tắc bảo mật
Theo mặc định, các truy vấn được đặt trong phạm vi một bộ sưu tập và chúng chỉ truy xuất kết quả từ bộ sưu tập đó. Với các truy vấn nhóm bộ sưu tập , bạn có thể truy xuất kết quả từ một nhóm bộ sưu tập bao gồm tất cả các bộ sưu tập có cùng ID. Phần này mô tả cách bảo mật các truy vấn nhóm bộ sưu tập của bạn bằng cách sử dụng các quy tắc bảo mật.
Bảo mật và truy vấn tài liệu dựa trên các nhóm bộ sưu tập
Trong quy tắc bảo mật của bạn, bạn phải cho phép rõ ràng các truy vấn của nhóm bộ sưu tập bằng cách viết quy tắc cho nhóm bộ sưu tập:
- Đảm bảo rằng
rules_version = '2';
là dòng đầu tiên của bộ quy tắc của bạn. Truy vấn nhóm bộ sưu tập yêu cầu hành vi ký tự đại diện đệ quy mới{name=**}
của quy tắc bảo mật phiên bản 2. - Viết quy tắc cho nhóm bộ sưu tập của bạn bằng cách sử dụng
match /{path=**}/ [COLLECTION_ID] /{doc}
.
Ví dụ: hãy xem xét một diễn đàn được tổ chức thành các tài liệu forum
chứa các tuyển tập con posts
:
/forums/{forumid}/posts/{postid}
{
author: "some_auth_id",
authorname: "some_username",
content: "I just read a great story.",
}
Trong ứng dụng này, chúng tôi làm cho chủ sở hữu của chúng có thể chỉnh sửa bài đăng và người dùng được xác thực có thể đọc được:
service cloud.firestore {
match /databases/{database}/documents {
match /forums/{forumid}/posts/{post} {
// Only authenticated users can read
allow read: if request.auth != null;
// Only the post author can write
allow write: if request.auth != null && request.auth.uid == resource.data.author;
}
}
}
Bất kỳ người dùng được xác thực nào cũng có thể truy xuất các bài đăng của bất kỳ diễn đàn nào:
db.collection("forums/technology/posts").get()
Nhưng nếu bạn muốn hiển thị bài đăng của người dùng hiện tại trên tất cả các diễn đàn thì sao? Bạn có thể sử dụng truy vấn nhóm bộ sưu tập để truy xuất kết quả từ tất cả các bộ sưu tập posts
:
var user = firebase.auth().currentUser;
db.collectionGroup("posts").where("author", "==", user.uid).get()
Trong quy tắc bảo mật của bạn, bạn phải cho phép truy vấn này bằng cách viết quy tắc đọc hoặc danh sách cho nhóm tuyển tập posts
:
rules_version = '2';
service cloud.firestore {
match /databases/{database}/documents {
// Authenticated users can query the posts collection group
// Applies to collection queries, collection group queries, and
// single document retrievals
match /{path=**}/posts/{post} {
allow read: if request.auth != null;
}
match /forums/{forumid}/posts/{postid} {
// Only a post's author can write to a post
allow write: if request.auth != null && request.auth.uid == resource.data.author;
}
}
}
Tuy nhiên, xin lưu ý rằng các quy tắc này sẽ áp dụng cho tất cả các bộ sưu tập có ID posts
, bất kể thứ bậc. Ví dụ: các quy tắc này áp dụng cho tất cả các bộ sưu tập posts
sau:
-
/posts/{postid}
-
/forums/{forumid}/posts/{postid}
-
/forums/{forumid}/subforum/{subforumid}/posts/{postid}
Truy vấn nhóm bộ sưu tập an toàn dựa trên một trường
Giống như truy vấn một bộ sưu tập, truy vấn nhóm bộ sưu tập cũng phải đáp ứng các ràng buộc do quy tắc bảo mật của bạn đặt ra. Ví dụ: chúng tôi có thể thêm trường published
vào mỗi bài đăng trên diễn đàn như chúng tôi đã làm trong ví dụ stories
ở trên:
/forums/{forumid}/posts/{postid}
{
author: "some_auth_id",
authorname: "some_username",
content: "I just read a great story.",
published: false
}
Sau đó, chúng tôi có thể viết quy tắc cho nhóm bộ sưu tập posts
dựa trên trạng thái published
và author
bài đăng:
rules_version = '2';
service cloud.firestore {
match /databases/{database}/documents {
// Returns `true` if the requested post is 'published'
// or the user authored the post
function authorOrPublished() {
return resource.data.published == true || request.auth.uid == resource.data.author;
}
match /{path=**}/posts/{post} {
// Anyone can query published posts
// Authors can query their unpublished posts
allow list: if authorOrPublished();
// Anyone can retrieve a published post
// Authors can retrieve an unpublished post
allow get: if authorOrPublished();
}
match /forums/{forumid}/posts/{postid} {
// Only a post's author can write to a post
allow write: if request.auth.uid == resource.data.author;
}
}
}
Với các quy tắc này, ứng dụng khách Web, Apple và Android có thể thực hiện các truy vấn sau:
Bất kỳ ai cũng có thể truy xuất các bài đăng đã xuất bản trong một diễn đàn:
db.collection("forums/technology/posts").where('published', '==', true).get()
Bất kỳ ai cũng có thể truy xuất các bài đăng đã xuất bản của tác giả trên tất cả các diễn đàn:
db.collectionGroup("posts").where("author", "==", "some_auth_id").where('published', '==', true).get()
Tác giả có thể truy xuất tất cả các bài đăng đã xuất bản và chưa xuất bản của họ trên tất cả các diễn đàn:
var user = firebase.auth().currentUser; db.collectionGroup("posts").where("author", "==", user.uid).get()
Bảo mật và truy vấn tài liệu dựa trên nhóm bộ sưu tập và đường dẫn tài liệu
Trong một số trường hợp, bạn có thể muốn hạn chế truy vấn nhóm bộ sưu tập dựa trên đường dẫn tài liệu. Để tạo những hạn chế này, bạn có thể sử dụng các kỹ thuật tương tự để bảo mật và truy vấn tài liệu dựa trên một trường.
Hãy xem xét một ứng dụng theo dõi các giao dịch của từng người dùng giữa một số trao đổi chứng khoán và tiền điện tử:
/users/{userid}/exchange/{exchangeid}/transactions/{transaction}
{
amount: 100,
exchange: 'some_exchange_name',
timestamp: April 1, 2019 at 12:00:00 PM UTC-7,
user: "some_auth_id",
}
Lưu ý trường user
. Mặc dù chúng tôi biết người dùng nào sở hữu tài liệu transaction
từ đường dẫn của tài liệu, nhưng chúng tôi sao chép thông tin này trong từng tài liệu transaction
vì nó cho phép chúng tôi thực hiện hai việc:
Viết các truy vấn nhóm bộ sưu tập được giới hạn trong các tài liệu bao gồm
/users/{userid}
cụ thể trong đường dẫn tài liệu của chúng. Ví dụ:var user = firebase.auth().currentUser; // Return current user's last five transactions across all exchanges db.collectionGroup("transactions").where("user", "==", user).orderBy('timestamp').limit(5)
Thực thi hạn chế này cho tất cả các truy vấn trên nhóm bộ sưu tập
transactions
để một người dùng không thể truy xuất tài liệutransaction
của người dùng khác.
Chúng tôi thực thi hạn chế này trong các quy tắc bảo mật của mình và bao gồm xác thực dữ liệu cho trường user
:
rules_version = '2';
service cloud.firestore {
match /databases/{database}/documents {
match /{path=**}/transactions/{transaction} {
// Authenticated users can retrieve only their own transactions
allow read: if resource.data.user == request.auth.uid;
}
match /users/{userid}/exchange/{exchangeid}/transactions/{transaction} {
// Authenticated users can write to their own transactions subcollections
// Writes must populate the user field with the correct auth id
allow write: if userid == request.auth.uid && request.data.user == request.auth.uid
}
}
}
Bước tiếp theo
- Để biết ví dụ chi tiết hơn về kiểm soát truy cập dựa trên vai trò, hãy xem Bảo mật quyền truy cập dữ liệu cho người dùng và nhóm .
- Đọc tài liệu tham khảo quy tắc bảo mật .