Tìm hiểu cú pháp cốt lõi của Quy tắc bảo mật Firebase cho ngôn ngữ lưu trữ đám mây

Quy tắc bảo mật Firebase dành cho Lưu trữ đám mây cho phép bạn kiểm soát quyền truy cập vào các đối tượng được lưu trữ trong bộ chứa Lưu trữ đám mây. Cú pháp quy tắc linh hoạt cho phép bạn tạo quy tắc để kiểm soát bất kỳ thao tác nào, từ tất cả thao tác ghi vào bộ chứa Cloud Storage cho đến thao tác trên một tệp cụ thể.

Hướng dẫn này mô tả cấu trúc và cú pháp cơ bản của Quy tắc bảo mật lưu trữ đám mây để tạo bộ quy tắc hoàn chỉnh.

Khai báo dịch vụ và cơ sở dữ liệu

Quy tắc bảo mật Firebase cho Cloud Storage luôn bắt đầu bằng khai báo sau:

service firebase.storage {
    // ...
}

Khai báo service firebase.storage mở rộng phạm vi quy tắc cho Cloud Storage, ngăn xung đột giữa Quy tắc bảo mật Cloud Storage và quy tắc cho các sản phẩm khác như Cloud Firestore.

Quy tắc đọc/ghi cơ bản

Các quy tắc cơ bản bao gồm một câu lệnh match xác định các bộ chứa Lưu trữ đám mây, một câu lệnh so khớp chỉ định tên tệp và một biểu thức allow nêu chi tiết thời điểm cho phép đọc dữ liệu đã chỉ định. các biểu thức allow chỉ định các phương thức truy cập (ví dụ: đọc, ghi) có liên quan và các điều kiện theo đó quyền truy cập được phép hoặc bị từ chối.

Trong bộ quy tắc mặc định của bạn, câu lệnh match đầu tiên sử dụng biểu thức ký tự đại diện {bucket} để biểu thị các quy tắc áp dụng cho tất cả các nhóm trong dự án của bạn. Chúng ta sẽ thảo luận thêm về ý tưởng về các trận đấu ký tự đại diện trong phần tiếp theo.

service firebase.storage {
  // The {bucket} wildcard indicates we match files in all Cloud Storage buckets
  match /b/{bucket}/o {
    // Match filename
    match /filename {
      allow read: if <condition>;
      allow write: if <condition>;
    }
  }
}

Tất cả các câu lệnh khớp đều trỏ đến các tệp. Câu lệnh so khớp có thể trỏ đến một tệp cụ thể, chẳng hạn như trong match /images/profilePhoto.png .

Khớp ký tự đại diện

Ngoài việc trỏ đến một tệp duy nhất, Quy tắc có thể sử dụng ký tự đại diện để trỏ đến bất kỳ tệp nào có tiền tố chuỗi nhất định trong tên tệp, bao gồm cả dấu gạch chéo, như trong match /images/{imageId} .

Trong ví dụ trên, câu lệnh so khớp sử dụng cú pháp ký tự đại diện {imageId} . Điều này có nghĩa là quy tắc áp dụng cho bất kỳ tệp nào có /images/ ở đầu tên, chẳng hạn như /images/profilePhoto.png hoặc /images/croppedProfilePhoto.png . Khi các biểu thức allow trong câu lệnh khớp được đánh giá, biến imageId sẽ phân giải thành tên tệp hình ảnh, chẳng hạn như profilePhoto.png hoặc croppedProfilePhoto.png .

Một biến ký tự đại diện có thể được tham chiếu từ bên trong match để cung cấp tên tệp hoặc ủy quyền đường dẫn:

// Another way to restrict the name of a file
match /images/{imageId} {
  allow read: if imageId == "profilePhoto.png";
}

dữ liệu phân cấp

Như chúng tôi đã nói trước đây, không có cấu trúc phân cấp bên trong nhóm Lưu trữ đám mây. Nhưng bằng cách sử dụng quy ước đặt tên tệp, thường là quy ước bao gồm dấu gạch chéo trong tên tệp, chúng ta có thể bắt chước một cấu trúc trông giống như một chuỗi các thư mục và thư mục con lồng vào nhau. Điều quan trọng là phải hiểu cách Quy tắc bảo mật Firebase tương tác với các tên tệp này.

Xem xét tình huống của một tập hợp các tệp có tên bắt đầu bằng /images/ gốc. Quy tắc bảo mật Firebase chỉ áp dụng cho tên tệp phù hợp, do đó, các điều khiển truy cập được xác định trên /images/ gốc không áp dụng cho /mp3s/ gốc. Thay vào đó, hãy viết các quy tắc rõ ràng phù hợp với các mẫu tên tệp khác nhau:

service firebase.storage {
  match /b/{bucket}/o {
    match /images/{imageId} {
      allow read, write: if <condition>;
    }

    // Explicitly define rules for the 'mp3s' pattern
    match /mp3s/{mp3Id} {
      allow read, write: if <condition>;
    }
  }
}

Khi lồng các câu lệnh match , đường dẫn của câu lệnh match bên trong luôn được thêm vào đường dẫn của câu lệnh match bên ngoài. Do đó, hai bộ quy tắc sau đây là tương đương:

service firebase.storage {
  match /b/{bucket}/o {
    match /images {
      // Exact match for "images/profilePhoto.png"
      match /profilePhoto.png {
        allow write: if <condition>;
      }
    }
  }
}

service firebase.storage {
  match /b/{bucket}/o {
    // Exact match for "images/profilePhoto.png"
    match /images/profilePhoto.png {
      allow write: if <condition>;
      }
  }
}

Ký tự đại diện đối sánh đệ quy

Ngoài các ký tự đại diện khớp và trả về chuỗi ở cuối tên tệp, ký tự đại diện nhiều phân đoạn có thể được khai báo để khớp phức tạp hơn bằng cách thêm =** vào tên ký tự đại diện, chẳng hạn như {path=**} :

// Partial match for files that start with "images"
match /images {

  // Exact match for "images/**"
  // e.g. images/users/user:12345/profilePhoto.png is matched
  // images/profilePhoto.png is also matched!
  match /{allImages=**} {
    // This rule matches one or more path segments (**)
    // allImages is a path that contains all segments matched
    allow read: if <other_condition>;
  }
}

Nếu nhiều quy tắc khớp với một tệp, thì kết quả là OR của kết quả đánh giá tất cả các quy tắc. Nghĩa là, nếu bất kỳ quy tắc nào mà tệp khớp với giá trị là true , thì kết quả là true .

Trong các quy tắc trên, tệp "images/profilePhoto.png" có thể được đọc nếu condition hoặc other_condition đánh giá là đúng, trong khi tệp "images/users/user:12345/profilePhoto.png" chỉ phụ thuộc vào kết quả của other_condition .

Quy tắc bảo mật lưu trữ đám mây không phân tầng và quy tắc chỉ được đánh giá khi đường dẫn yêu cầu khớp với đường dẫn có quy tắc được chỉ định.

rules_version = '2';
service cloud.storage {
  match /b/{bucket}/o {
   ...
 }
}

rules_version = '2';
service firebase.storage {
 match /b/{bucket}/o {
   // Matches any file in a songs "subdirectory" under the
   // top level of your Cloud Storage bucket.
   match /{prefixSegment=**}/songs/{mp3filenames} {
     allow read, write: if <condition>;
   }
  }
}

hoạt động chi tiết

Trong một số trường hợp, sẽ rất hữu ích nếu bạn chia nhỏ read và write thành các thao tác chi tiết hơn. Ví dụ: ứng dụng của bạn có thể muốn thực thi các điều kiện tạo tệp khác với điều kiện xóa tệp.

Thao tác read có thể được chia thành get và list .

Quy tắc write có thể được chia thành create , update và delete :

service firebase.storage {
  match /b/{bucket}/o {
    // A read rule can be divided into read and list rules
    match /images/{imageId} {
      // Applies to single file read requests
      allow get: if <condition>;
      // Applies to list and listAll requests (Rules Version 2)
      allow list: if <condition>;

    // A write rule can be divided into create, update, and delete rules
    match /images/{imageId} {
      // Applies to writes to file contents
      allow create: if <condition>;

      // Applies to updates to (pre-existing) file metadata
      allow update: if <condition>;

      // Applies to delete operations
      allow delete: if <condition>;
    }
  }
 }
}

Báo cáo đối sánh chồng chéo

Tên tệp có thể khớp với nhiều câu lệnh match . Trong trường hợp có nhiều biểu thức allow khớp với một yêu cầu, quyền truy cập được phép nếu bất kỳ điều kiện nào là true :

service firebase.storage {
  match b/{bucket}/o {
    // Matches file names directly inside of '/images/'.
    match /images/{imageId} {
      allow read, write: if false;
    }

    // Matches file names anywhere under `/images/`
    match /images/{imageId=**} {
      allow read, write: if true;
    }
  }
}

Trong ví dụ trên, tất cả các lần đọc và ghi vào tệp có tên bắt đầu bằng /images/ đều được phép vì quy tắc thứ hai luôn true , ngay cả khi quy tắc đầu tiên là false .

Quy tắc không phải là bộ lọc

Sau khi bạn bảo mật dữ liệu của mình và bắt đầu thực hiện các thao tác với tệp, hãy nhớ rằng các quy tắc bảo mật không phải là bộ lọc. Bạn không thể thực hiện các thao tác trên một tập hợp các tệp khớp với mẫu tên tệp và yêu cầu Cloud Storage chỉ truy cập các tệp mà ứng dụng khách hiện tại có quyền truy cập.

Ví dụ: lấy quy tắc bảo mật sau:

service firebase.storage {
  match /b/{bucket}/o {
    // Allow the client to read files with contentType 'image/png'
    match /aFileNamePrefix/{aFileName} {
      allow read: if resource.contentType == 'image/png';
    }
  }
}

Bị từ chối : Quy tắc này từ chối yêu cầu sau vì tập hợp kết quả có thể bao gồm các tệp mà contentType không phải là image/png :

filesRef = storage.ref().child("aFilenamePrefix");

filesRef.listAll()
    .then(function(result) {
      console.log("Success: ", result.items);
    })
});

Các quy tắc trong Cloud Storage Security Các quy tắc đánh giá từng truy vấn dựa trên kết quả tiềm năng của nó và không thực hiện được yêu cầu nếu nó có thể trả về một tệp mà máy khách không có quyền đọc. Yêu cầu truy cập phải tuân theo các ràng buộc do quy tắc của bạn đặt.

Bước tiếp theo

Bạn có thể hiểu sâu hơn về Quy tắc bảo mật Firebase cho Lưu trữ đám mây:

• Tìm hiểu khái niệm chính tiếp theo về ngôn ngữ Quy tắc, điều kiện động cho phép Quy tắc của bạn kiểm tra ủy quyền của người dùng, so sánh dữ liệu hiện có và dữ liệu đến, xác thực dữ liệu đến, v.v.

• Xem xét các trường hợp sử dụng bảo mật điển hình và định nghĩa Quy tắc bảo mật Firebase giải quyết các trường hợp đó .

Bạn có thể khám phá các trường hợp sử dụng Quy tắc bảo mật Firebase dành riêng cho Cloud Storage: