Catch up on everything announced at Firebase Summit, and learn how Firebase can help you accelerate app development and run your app with confidence. Learn More

Tìm hiểu cú pháp cốt lõi của Quy tắc bảo mật Firebase cho ngôn ngữ lưu trữ đám mây

Sử dụng bộ sưu tập để sắp xếp ngăn nắp các trang Lưu và phân loại nội dung dựa trên lựa chọn ưu tiên của bạn.

Quy tắc bảo mật Firebase dành cho Lưu trữ đám mây cho phép bạn kiểm soát quyền truy cập vào các đối tượng được lưu trữ trong bộ chứa Lưu trữ đám mây. Cú pháp quy tắc linh hoạt cho phép bạn tạo quy tắc để kiểm soát bất kỳ thao tác nào, từ tất cả thao tác ghi vào bộ chứa Cloud Storage cho đến thao tác trên một tệp cụ thể.

Hướng dẫn này mô tả cấu trúc và cú pháp cơ bản của Quy tắc bảo mật lưu trữ đám mây để tạo bộ quy tắc hoàn chỉnh.

Khai báo dịch vụ và cơ sở dữ liệu

Quy tắc bảo mật Firebase cho Cloud Storage luôn bắt đầu bằng khai báo sau:

service firebase.storage {
    // ...
}

Khai báo service firebase.storage mở rộng phạm vi quy tắc cho Cloud Storage, ngăn xung đột giữa Quy tắc bảo mật Cloud Storage và quy tắc cho các sản phẩm khác như Cloud Firestore.

Quy tắc đọc/ghi cơ bản

Các quy tắc cơ bản bao gồm một câu lệnh so match xác định các bộ chứa Lưu trữ đám mây, một câu lệnh so khớp chỉ định tên tệp và một biểu thức allow nêu chi tiết thời điểm cho phép đọc dữ liệu đã chỉ định. allow chỉ định các phương thức truy cập (ví dụ: đọc, ghi) có liên quan và các điều kiện theo đó quyền truy cập được phép hoặc bị từ chối.

Trong bộ quy tắc mặc định của bạn, câu lệnh so match đầu tiên sử dụng biểu thức ký tự đại diện {bucket} để biểu thị các quy tắc áp dụng cho tất cả các nhóm trong dự án của bạn. Chúng ta sẽ thảo luận thêm về ý tưởng về các trận đấu ký tự đại diện trong phần tiếp theo.

service firebase.storage {
  // The {bucket} wildcard indicates we match files in all Cloud Storage buckets
  match /b/{bucket}/o {
    // Match filename
    match /filename {
      allow read: if <condition>;
      allow write: if <condition>;
    }
  }
}

Tất cả các câu lệnh khớp đều trỏ đến các tệp. Câu lệnh so khớp có thể trỏ đến một tệp cụ thể, chẳng hạn như trong match /images/profilePhoto.png .

Khớp ký tự đại diện

Ngoài việc trỏ đến một tệp duy nhất, Quy tắc có thể sử dụng ký tự đại diện để trỏ đến bất kỳ tệp nào có tiền tố chuỗi nhất định trong tên tệp, bao gồm cả dấu gạch chéo, như trong match /images/{imageId} .

Trong ví dụ trên, câu lệnh so khớp sử dụng cú pháp ký tự đại diện {imageId} . Điều này có nghĩa là quy tắc áp dụng cho bất kỳ tệp nào có /images/ ở đầu tên, chẳng hạn như /images/profilePhoto.png hoặc /images/croppedProfilePhoto.png . Khi các biểu thức allow trong câu lệnh khớp được đánh giá, biến imageId sẽ phân giải thành tên tệp hình ảnh, chẳng hạn như profilePhoto.png hoặc croppedProfilePhoto.png .

Một biến ký tự đại diện có thể được tham chiếu từ bên trong match để cung cấp tên tệp hoặc ủy quyền đường dẫn:

// Another way to restrict the name of a file
match /images/{imageId} {
  allow read: if imageId == "profilePhoto.png";
}

dữ liệu phân cấp

Như chúng tôi đã nói trước đây, không có cấu trúc phân cấp bên trong nhóm Lưu trữ đám mây. Nhưng bằng cách sử dụng quy ước đặt tên tệp, thường là quy ước bao gồm dấu gạch chéo trong tên tệp, chúng ta có thể bắt chước một cấu trúc trông giống như một chuỗi các thư mục và thư mục con lồng vào nhau. Điều quan trọng là phải hiểu cách Quy tắc bảo mật Firebase tương tác với các tên tệp này.

Xem xét tình huống của một tập hợp các tệp có tên bắt đầu bằng /images/ gốc. Quy tắc bảo mật Firebase chỉ áp dụng cho tên tệp phù hợp, do đó, các điều khiển truy cập được xác định trên /images/ gốc không áp dụng cho /mp3s/ gốc. Thay vào đó, hãy viết các quy tắc rõ ràng phù hợp với các mẫu tên tệp khác nhau:

service firebase.storage {
  match /b/{bucket}/o {
    match /images/{imageId} {
      allow read, write: if <condition>;
    }

    // Explicitly define rules for the 'mp3s' pattern
    match /mp3s/{mp3Id} {
      allow read, write: if <condition>;
    }
  }
}

Khi lồng các câu lệnh match , đường dẫn của câu lệnh match bên trong luôn được thêm vào đường dẫn của câu lệnh match bên ngoài. Do đó, hai bộ quy tắc sau đây là tương đương:

service firebase.storage {
  match /b/{bucket}/o {
    match /images {
      // Exact match for "images/profilePhoto.png"
      match /profilePhoto.png {
        allow write: if <condition>;
      }
    }
  }
}
service firebase.storage {
  match /b/{bucket}/o {
    // Exact match for "images/profilePhoto.png"
    match /images/profilePhoto.png {
      allow write: if <condition>;
      }
  }
}

Ký tự đại diện đối sánh đệ quy

Ngoài các ký tự đại diện khớp và trả về chuỗi ở cuối tên tệp, ký tự đại diện nhiều phân đoạn có thể được khai báo để khớp phức tạp hơn bằng cách thêm =** vào tên ký tự đại diện, chẳng hạn như {path=**} :

// Partial match for files that start with "images"
match /images {

  // Exact match for "images/**"
  // e.g. images/users/user:12345/profilePhoto.png is matched
  // images/profilePhoto.png is also matched!
  match /{allImages=**} {
    // This rule matches one or more path segments (**)
    // allImages is a path that contains all segments matched
    allow read: if <other_condition>;
  }
}

Nếu nhiều quy tắc khớp với một tệp, thì kết quả là OR của kết quả đánh giá tất cả các quy tắc. Nghĩa là, nếu bất kỳ quy tắc nào mà tệp khớp với giá trị là true , thì kết quả là true .

Trong các quy tắc trên, tệp "images/profilePhoto.png" có thể được đọc nếu condition hoặc other_condition đánh giá là đúng, trong khi tệp "images/users/user:12345/profilePhoto.png" chỉ phụ thuộc vào kết quả của other_condition .

Quy tắc bảo mật lưu trữ đám mây không phân tầng và quy tắc chỉ được đánh giá khi đường dẫn yêu cầu khớp với đường dẫn có quy tắc được chỉ định.

Phiên bản 1

Quy tắc bảo mật Firebase sử dụng phiên bản 1 theo mặc định. Trong phiên bản 1, các ký tự đại diện đệ quy khớp với một hoặc nhiều phần tử tên tệp, không phải 0 hoặc nhiều phần tử. Do đó, match /images/{filenamePrefixWildcard}/{imageFilename=**} khớp với tên tệp như /images/profilePics/profile.png, nhưng không khớp với /images/badge.png. Thay vào đó, hãy sử dụng /images/{imagePrefixorFilename=**} .

Các ký tự đại diện đệ quy phải xuất hiện ở cuối câu lệnh so khớp.

Chúng tôi khuyên bạn nên sử dụng phiên bản 2 để có nhiều tính năng mạnh mẽ hơn.

Phiên bản 2

Trong phiên bản 2 của Quy tắc bảo mật Firebase, các ký tự đại diện đệ quy khớp với 0 hoặc nhiều mục đường dẫn. Do đó, /images/{filenamePrefixWildcard}/{imageFilename=**} khớp với tên tệp /images/profilePics/profile.png và /images/badge.png.

Bạn phải chọn tham gia phiên bản 2 bằng cách thêm rules_version = '2'; ở đầu các quy tắc bảo mật của bạn:

rules_version = '2';
service cloud.storage {
  match /b/{bucket}/o {
   ...
 }
}

Bạn có thể có nhiều nhất một ký tự đại diện đệ quy cho mỗi câu lệnh so khớp, nhưng trong phiên bản 2, bạn có thể đặt ký tự đại diện này ở bất kỳ đâu trong câu lệnh so khớp. Ví dụ:

rules_version = '2';
service firebase.storage {
 match /b/{bucket}/o {
   // Matches any file in a songs "subdirectory" under the
   // top level of your Cloud Storage bucket.
   match /{prefixSegment=**}/songs/{mp3filenames} {
     allow read, write: if <condition>;
   }
  }
}

hoạt động chi tiết

Trong một số trường hợp, sẽ rất hữu ích nếu bạn chia nhỏ thao tác readwrite thành các thao tác chi tiết hơn. Ví dụ: ứng dụng của bạn có thể muốn thực thi các điều kiện tạo tệp khác với điều kiện xóa tệp.

Thao tác read có thể được chia thành getlist .

Quy tắc write có thể được chia thành create , updatedelete :

service firebase.storage {
  match /b/{bucket}/o {
    // A read rule can be divided into read and list rules
    match /images/{imageId} {
      // Applies to single file read requests
      allow get: if <condition>;
      // Applies to list and listAll requests (Rules Version 2)
      allow list: if <condition>;

    // A write rule can be divided into create, update, and delete rules
    match /images/{imageId} {
      // Applies to writes to file contents
      allow create: if <condition>;

      // Applies to updates to (pre-existing) file metadata
      allow update: if <condition>;

      // Applies to delete operations
      allow delete: if <condition>;
    }
  }
 }
}

Báo cáo đối sánh chồng chéo

Tên tệp có thể khớp với nhiều câu lệnh match . Trong trường hợp có nhiều biểu thức allow khớp với một yêu cầu, quyền truy cập được phép nếu bất kỳ điều kiện nào là true :

service firebase.storage {
  match b/{bucket}/o {
    // Matches file names directly inside of '/images/'.
    match /images/{imageId} {
      allow read, write: if false;
    }

    // Matches file names anywhere under `/images/`
    match /images/{imageId=**} {
      allow read, write: if true;
    }
  }
}

Trong ví dụ trên, tất cả các lần đọc và ghi vào tệp có tên bắt đầu bằng /images/ đều được phép vì quy tắc thứ hai luôn true , ngay cả khi quy tắc đầu tiên là false .

Quy tắc không phải là bộ lọc

Sau khi bạn bảo mật dữ liệu của mình và bắt đầu thực hiện các thao tác với tệp, hãy nhớ rằng các quy tắc bảo mật không phải là bộ lọc. Bạn không thể thực hiện các thao tác trên một tập hợp các tệp khớp với mẫu tên tệp và yêu cầu Cloud Storage chỉ truy cập các tệp mà ứng dụng khách hiện tại có quyền truy cập.

Ví dụ: lấy quy tắc bảo mật sau:

service firebase.storage {
  match /b/{bucket}/o {
    // Allow the client to read files with contentType 'image/png'
    match /aFileNamePrefix/{aFileName} {
      allow read: if resource.contentType == 'image/png';
    }
  }
}

Bị từ chối : Quy tắc này từ chối yêu cầu sau vì tập hợp kết quả có thể bao gồm các tệp mà contentType không phải là image/png :

mạng
filesRef = storage.ref().child("aFilenamePrefix");

filesRef.listAll()
    .then(function(result) {
      console.log("Success: ", result.items);
    })
});

Các quy tắc trong Cloud Storage Security Các quy tắc đánh giá từng truy vấn dựa trên kết quả tiềm năng của nó và không thực hiện được yêu cầu nếu nó có thể trả về một tệp mà máy khách không có quyền đọc. Yêu cầu truy cập phải tuân theo các ràng buộc do quy tắc của bạn đặt.

Bước tiếp theo

Bạn có thể hiểu sâu hơn về Quy tắc bảo mật Firebase cho Lưu trữ đám mây:

Bạn có thể khám phá các trường hợp sử dụng Quy tắc bảo mật Firebase dành riêng cho Cloud Storage: