แอพการทำงานร่วมกันจำนวนมากอนุญาตให้ผู้ใช้อ่านและเขียนข้อมูลส่วนต่างๆ ตามชุดสิทธิ์ ตัวอย่างเช่น ในแอปแก้ไขเอกสาร ผู้ใช้อาจต้องการให้ผู้ใช้บางรายอ่านและเขียนเอกสารของตนได้ในขณะที่บล็อกการเข้าถึงที่ไม่พึงประสงค์
โซลูชัน: การควบคุมการเข้าถึงตามบทบาท
คุณสามารถใช้ประโยชน์จากโมเดลข้อมูลของ Cloud Firestore รวมถึง กฎความปลอดภัย ที่กำหนดเองเพื่อใช้การควบคุมการเข้าถึงตามบทบาทในแอปของคุณ
สมมติว่าคุณกำลังสร้างแอปพลิเคชันการเขียนร่วมกันซึ่งผู้ใช้สามารถสร้าง "เรื่องราว" และ "ความคิดเห็น" โดยมีข้อกำหนดด้านความปลอดภัยต่อไปนี้:
- แต่ละเรื่องราวมีเจ้าของเพียงคนเดียวและสามารถแชร์กับ "นักเขียน" "ผู้แสดงความคิดเห็น" และ "ผู้อ่าน" ได้
- ผู้อ่าน สามารถดูได้เฉพาะเรื่องราวและความคิดเห็นเท่านั้น พวกเขาไม่สามารถแก้ไขอะไรได้
- ผู้แสดงความคิดเห็น สามารถเข้าถึงผู้อ่านได้ทั้งหมด และยังสามารถเพิ่มความคิดเห็นในเรื่องราวได้อีกด้วย
- นักเขียน มีสิทธิ์เข้าถึงผู้แสดงความคิดเห็น และยังสามารถแก้ไขเนื้อหาเรื่องราวได้อีกด้วย
- เจ้าของ สามารถแก้ไขส่วนใดส่วนหนึ่งของเรื่องราวรวมทั้งควบคุมการเข้าถึงของผู้ใช้รายอื่นได้
โครงสร้างข้อมูล
สมมติว่าแอปของคุณมีคอลเลกชัน stories
ที่เอกสารแต่ละฉบับแสดงถึงเรื่องราว แต่ละเรื่องราวยังมีคอลเลกชันย่อย comments
โดยแต่ละเอกสารเป็นความคิดเห็นในเรื่องนั้น
หากต้องการติดตามบทบาทการเข้าถึง ให้เพิ่มฟิลด์ roles
ซึ่งเป็นแผนผังรหัสผู้ใช้ให้กับบทบาท:
/ เรื่องราว / {storyid}
{
title: "A Great Story",
content: "Once upon a time ...",
roles: {
alice: "owner",
bob: "reader",
david: "writer",
jane: "commenter"
// ...
}
}
ความคิดเห็นมีเพียงสองฟิลด์ ได้แก่ ID ผู้ใช้ของผู้เขียนและเนื้อหาบางส่วน:
/เรื่องราว/{storyid}/ความคิดเห็น/{commentid}
{
user: "alice",
content: "I think this is a great story!"
}
กฎ
ตอนนี้คุณมีบทบาทของผู้ใช้ที่บันทึกไว้ในฐานข้อมูลแล้ว คุณต้องเขียนกฎความปลอดภัยเพื่อตรวจสอบความถูกต้อง กฎเหล่านี้จะถือว่าแอปใช้ Firebase Auth เพื่อให้ตัวแปร request.auth.uid
เป็น ID ของผู้ใช้
ขั้นตอนที่ 1 : เริ่มต้นด้วยไฟล์กฎพื้นฐาน ซึ่งประกอบด้วยกฎว่างสำหรับเรื่องราวและความคิดเห็น:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
// TODO: Story rules go here...
match /comments/{comment} {
// TODO: Comment rules go here...
}
}
}
}
ขั้นตอนที่ 2 : เพิ่มกฎ write
ง่ายๆ ที่ให้เจ้าของควบคุมเรื่องราวได้อย่างสมบูรณ์ ฟังก์ชันที่กำหนดจะช่วยกำหนดบทบาทของผู้ใช้และดูว่าเอกสารใหม่ถูกต้องหรือไม่:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
function isSignedIn() {
return request.auth != null;
}
function getRole(rsc) {
// Read from the "roles" map in the resource (rsc).
return rsc.data.roles[request.auth.uid];
}
function isOneOfRoles(rsc, array) {
// Determine if the user is one of an array of roles
return isSignedIn() && (getRole(rsc) in array);
}
function isValidNewStory() {
// Valid if story does not exist and the new story has the correct owner.
return resource == null && isOneOfRoles(request.resource, ['owner']);
}
// Owners can read, write, and delete stories
allow write: if isValidNewStory() || isOneOfRoles(resource, ['owner']);
match /comments/{comment} {
// ...
}
}
}
}
ขั้นตอนที่ 3 : เขียนกฎที่อนุญาตให้ผู้ใช้ทุกบทบาทสามารถอ่านเรื่องราวและความคิดเห็นได้ การใช้ฟังก์ชันที่กำหนดไว้ในขั้นตอนก่อนหน้าจะทำให้กฎมีความกระชับและอ่านง่าย:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
function isSignedIn() {
return request.auth != null;
}
function getRole(rsc) {
return rsc.data.roles[request.auth.uid];
}
function isOneOfRoles(rsc, array) {
return isSignedIn() && (getRole(rsc) in array);
}
function isValidNewStory() {
return resource == null
&& request.resource.data.roles[request.auth.uid] == 'owner';
}
allow write: if isValidNewStory() || isOneOfRoles(resource, ['owner']);
// Any role can read stories.
allow read: if isOneOfRoles(resource, ['owner', 'writer', 'commenter', 'reader']);
match /comments/{comment} {
// Any role can read comments.
allow read: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter', 'reader']);
}
}
}
}
ขั้นตอนที่ 4 : อนุญาตให้ผู้เขียนเรื่องราว ผู้แสดงความคิดเห็น และเจ้าของโพสต์ความคิดเห็นได้ โปรดทราบว่ากฎนี้ยังตรวจสอบด้วยว่า owner
ความคิดเห็นตรงกับผู้ใช้ที่ร้องขอ ซึ่งจะป้องกันไม่ให้ผู้ใช้เขียนทับความคิดเห็นของกันและกัน:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
function isSignedIn() {
return request.auth != null;
}
function getRole(rsc) {
return rsc.data.roles[request.auth.uid];
}
function isOneOfRoles(rsc, array) {
return isSignedIn() && (getRole(rsc) in array);
}
function isValidNewStory() {
return resource == null
&& request.resource.data.roles[request.auth.uid] == 'owner';
}
allow write: if isValidNewStory() || isOneOfRoles(resource, ['owner'])
allow read: if isOneOfRoles(resource, ['owner', 'writer', 'commenter', 'reader']);
match /comments/{comment} {
allow read: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter', 'reader']);
// Owners, writers, and commenters can create comments. The
// user id in the comment document must match the requesting
// user's id.
//
// Note: we have to use get() here to retrieve the story
// document so that we can check the user's role.
allow create: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter'])
&& request.resource.data.user == request.auth.uid;
}
}
}
}
ขั้นตอนที่ 5 : ให้ผู้เขียนสามารถแก้ไขเนื้อหาเรื่องราวได้ แต่ไม่สามารถแก้ไขบทบาทของเรื่องราวหรือเปลี่ยนแปลงคุณสมบัติอื่นใดของเอกสารได้ สิ่งนี้จำเป็นต้องแยกกฎ write
เรื่องราวออกเป็นกฎแยกต่างหากสำหรับ create
update
และ delete
เนื่องจากผู้เขียนสามารถอัปเดตเรื่องราวได้เท่านั้น:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
function isSignedIn() {
return request.auth != null;
}
function getRole(rsc) {
return rsc.data.roles[request.auth.uid];
}
function isOneOfRoles(rsc, array) {
return isSignedIn() && (getRole(rsc) in array);
}
function isValidNewStory() {
return request.resource.data.roles[request.auth.uid] == 'owner';
}
function onlyContentChanged() {
// Ensure that title and roles are unchanged and that no new
// fields are added to the document.
return request.resource.data.title == resource.data.title
&& request.resource.data.roles == resource.data.roles
&& request.resource.data.keys() == resource.data.keys();
}
// Split writing into creation, deletion, and updating. Only an
// owner can create or delete a story but a writer can update
// story content.
allow create: if isValidNewStory();
allow delete: if isOneOfRoles(resource, ['owner']);
allow update: if isOneOfRoles(resource, ['owner'])
|| (isOneOfRoles(resource, ['writer']) && onlyContentChanged());
allow read: if isOneOfRoles(resource, ['owner', 'writer', 'commenter', 'reader']);
match /comments/{comment} {
allow read: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter', 'reader']);
allow create: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter'])
&& request.resource.data.user == request.auth.uid;
}
}
}
}
ข้อจำกัด
โซลูชันที่แสดงด้านบนสาธิตการรักษาความปลอดภัยของข้อมูลผู้ใช้โดยใช้กฎความปลอดภัย แต่คุณควรคำนึงถึงข้อจำกัดต่อไปนี้:
- รายละเอียด : ในตัวอย่างข้างต้น หลายบทบาท (ผู้เขียนและเจ้าของ) มีสิทธิ์เขียนในเอกสารเดียวกัน แต่มีข้อจำกัดที่แตกต่างกัน การดำเนินการนี้อาจกลายเป็นเรื่องยากในการจัดการด้วยเอกสารที่ซับซ้อนมากขึ้น และอาจดีกว่าถ้าแยกเอกสารเดี่ยวออกเป็นหลายเอกสาร ซึ่งแต่ละฉบับเป็นเจ้าของโดยบทบาทเดียว
- กลุ่มขนาดใหญ่ : หากคุณต้องการแชร์กับกลุ่มขนาดใหญ่หรือซับซ้อน ให้พิจารณาระบบที่เก็บบทบาทไว้ในคอลเลกชันของตนเอง แทนที่จะเป็นช่องในเอกสารเป้าหมาย