Reglas de seguridad y autenticación de Firebase

Las reglas de seguridad de Firebase brindan control de acceso y validación de datos en un formato que admite múltiples niveles de complejidad. Para crear sistemas de acceso basados ​​en usuarios y roles que mantengan seguros los datos de sus usuarios, use Firebase Authentication con Firebase Security Rules.

Identificar usuarios

La autenticación identifica a los usuarios que solicitan acceso a sus datos y proporciona esa información como una variable que puede aprovechar en sus reglas. La variable auth contiene la siguiente información:

• uid : ID de usuario único, asignado al usuario solicitante.
• token : un mapa de valores recopilados por autenticación.

La variable auth.token contiene los siguientes valores:

Si desea agregar atributos de autenticación personalizados, la variable auth.token también contiene cualquier reclamo personalizado que especifique.

Cuando el usuario que solicita acceso no ha iniciado sesión, la variable auth es null . Puede aprovechar esto en sus reglas si, por ejemplo, desea limitar el acceso de lectura a usuarios autenticados: auth != null . Sin embargo, generalmente recomendamos limitar aún más el acceso de escritura.

Para obtener más información sobre la variable auth , consulte la documentación de referencia de Cloud Firestore , Realtime Database y Cloud Storage .

Aprovechar la información del usuario en reglas

En la práctica, el uso de información autenticada en sus reglas las hace más poderosas y flexibles. Puede controlar el acceso a los datos según la identidad del usuario.

En sus reglas, defina cómo la información en la variable auth (la información del usuario del solicitante) coincide con la información del usuario asociada con los datos solicitados.

Por ejemplo, es posible que su aplicación quiera asegurarse de que los usuarios solo puedan leer y escribir sus propios datos. En este escenario, querrá una coincidencia entre la variable auth.uid y el ID de usuario en los datos solicitados:

service cloud.firestore {
  match /databases/{database}/documents {
    // Make sure the uid of the requesting user matches name of the user
    // document. The wildcard expression {userId} makes the userId variable
    // available in rules.
    match /users/{userId} {
      allow read, write: if request.auth != null && request.auth.uid == userId;
    }
  }
}

{
  "rules": {
    "users": {
      "$userId": {
        // grants write access to the owner of this user account
        // whose uid must exactly match the key ($userId)
        ".write": "$userId === auth.uid"
      }
    }
  }
}

service firebase.storage {
  // Only a user can upload their file, but anyone can view it
  match /users/{userId}/{fileName} {
    allow read;
    allow write: if request.auth != null && request.auth.uid == userId;
  }
}

Definir información de usuario personalizada

Puede aprovechar aún más la variable auth para definir campos personalizados asignados a los usuarios de su aplicación.

Por ejemplo, supongamos que desea crear una función de "administrador" que permita el acceso de escritura en determinadas rutas. Asignaría ese atributo a los usuarios y luego lo aprovecharía en las reglas que otorgan acceso a las rutas.

En Cloud Firestore, puedes agregar un campo personalizado a los documentos de los usuarios y recuperar el valor de ese campo con una lectura integrada en tus reglas. Entonces, su regla basada en administrador se parecería al siguiente ejemplo:

service cloud.firestore {
  match /databases/{database}/documents/some_collection: {
    // Remember that, in Cloud Firestore, reads embedded in your rules are billed operations
    write: if request.auth != null && get(/databases/(database)/documents/users/$(request.auth.uid)).data.admin == true;
    read: if request.auth != null;
  }
}

Puede acceder a reclamos personalizados en Reglas después de crear reclamos personalizados en Autenticación. Luego puede hacer referencia a esas reclamaciones personalizadas utilizando la variable auth.token .

service cloud.firestore {
  match /databases/{database}/documents {
    // For attribute-based access control, check for an admin claim
    allow write: if request.auth.token.admin == true;
    allow read: true;

    // Alterntatively, for role-based access, assign specific roles to users
    match /some_collection/{document} {
     allow read: if request.auth.token.reader == "true";
     allow write: if request.auth.token.writer == "true";
   }
  }
}

{
  "rules": {
    "some_path/$sub_path": {
      // Create a custom claim for the admin role
      ".write": "auth.uid !== null && auth.token.writer === true"
      ".read": "auth.uid !== null"
      }
    }
  }

service firebase.storage {
  // Create a custom claim for the admin role
  match /files/{fileName} {
    allow read: if request.auth.uid != null;
    allow write: if request.auth.token.admin == true;
  }
}

Para ver más ejemplos de reglas básicas que aprovechan la autenticación, consulte Reglas de seguridad básicas .