Firebase Security Rules は、Cloud Firestore、Realtime Database、Cloud Storage のデータに対して、堅牢で、完全にカスタマイズ可能な保護を提供します。このガイドの手順に従うことで、データのセキュリティを確保し悪意のあるユーザーからアプリを保護する Rules を簡単に導入できます。
Firebase Security Rules 言語を理解する
ルールの作成を始める前に、お使いの Firebase プロダクトに固有の Firebase Security Rules 言語の確認に時間をかけることには価値があります。Realtime Database では、JavaScript のような構文と JSON 構造を Rules に利用します。一方、Cloud Firestore と Cloud Storage では Common Expression Language（CEL）のスーパーセットを利用し、match ステートメントと allow ステートメントに依存して、定義したパスのアクセスへの条件を設定します。
詳しくは、Firebase Security Rules 言語をご覧ください。
Authenticationを設定
まだ行っていない場合は、Firebase Authentication でユーザーを識別します。Firebase Authentication は多くの一般的な認証方式をサポートしており、Firebase Security Rules と統合することで包括的な検証機能を提供します。
アプリに応じたカスタム認証情報を追加で設定できます。
Firebase Security Rules と Firebase Authentication の詳細をご覧ください。
データ構造とルール構造を定義する
データをどう構造化するかによって、ルールを構造化、実装する方法が左右されることがあります。データ構造を定義する際は、Rules の構造に与える可能性がある影響を考慮します。
たとえば、Cloud Firestore では、各ユーザーの特定のロールを示すフィールドを含めることをおすすめします。これにより、ルールでそのフィールドを読み取り、その値に基づき役割ベースのアクセス権を付与できます。
データとルールのアーキテクチャを定義する際は、データセットに対するアクセス権を付与するルールが 1 つでもあれば、Firebase Security Rules もそのデータセットに対するアクセス権を付与することを念頭に置いてください。つまり、データ階層の上位レベルでアクセス権を付与した場合、サブパスのアクセスを絞り込めません。
既存のルールにアクセスする
既存の Rules を表示するには、Firebase CLI または Firebase コンソールのいずれかを使用します。更新したルールを誤って上書きしないよう、常に同じ手段を使用してルールを編集します。ローカルに定義されたルールが最新の更新を反映しているかどうかわからなくても、Firebase コンソールには常に Firebase Security Rules の最新のデプロイ済みバージョンが表示されます。
Firebase コンソールからルールにアクセスするには、プロジェクトを選択し、[Realtime Database]、[Cloud Firestore]、または [Storage] に移動します。対象のデータベースやストレージ バケットに移動したら、[ルール] をクリックします。
Firebase CLI からルールにアクセスする場合は、firebase.json ファイルに指定されているルールファイルに移動します。
基本的なルールを作成する
アプリを開発しながら Rules の理解を深める中で、いくつかの基本的なセキュリティ ルールを実装してみましょう。基本的なルールには次のユースケースが含まれます。
- コンテンツ所有者のみ: ユーザーごとにコンテンツへのアクセスを制限する。
- 混合アクセス: ユーザーごとに書き込みアクセスを制限する一方、すべてのユーザーに読み取りアクセスを許可する。
- 属性ベースのアクセス: ユーザーのグループまたはタイプにアクセスを制限する。
ルールをテストする
アプリの動作を完全に検証し、Firebase Security Rules
の構成を確認するには、Firebase エミュレータを使用して、ローカル環境で単体テストの実行と自動化を行います。
Firebase コンソールで Firebase Security Rules を設定する場合は、Firebase ルール シミュレータを使用して、その動作をすばやく検証できます。ただし、Firebase エミュレータでさらに綿密にテストしてから、その変更内容を本番環境にデプロイすることをおすすめします。
ルールをデプロイする
Firebase コンソールまたは Firebase CLI を使用して、ルールを本番環境にデプロイします。Firebase Security Rules の管理とデプロイで説明されている手順に沿ってください。