Google 致力于为黑人社区推动种族平等。查看具体举措
此页面由 Cloud Translation API 翻译。
Switch to English

了解《 Firebase Cloud Storage安全规则》语言的核心语法

Cloud Storage的Firebase安全规则可让您控制对Cloud Storage存储桶中存储的对象的访问。灵活的规则语法允许您创建规则来控制任何操作,从对Cloud Storage存储桶的所有写入到对特定文件的操作。

本指南介绍了用于创建完整规则集的Cloud Storage Security Rules的基本语法和结构。

服务和数据库声明

Cloud Storage的Firebase安全规则始终以以下声明开头:

service firebase.storage {
    // ...
}

service firebase.storage声明将规则范围service firebase.storage为Cloud Storage,以防止Cloud Storage安全规则与其他产品(例如Cloud Firestore)的规则之间的冲突。

基本读写规则

基本规则由一个的match语句识别云存储桶,一个匹配语句中指定一个文件名,和allow读取指定数据被允许时表达的细节。 allow表达式指定所涉及的访问方法(例如,读取,写入),以及允许或拒绝访问的条件

在默认规则集中,第一个match语句使用{bucket}通配符表达式表示规则适用于项目中的所有存储桶。我们将在下一节中进一步讨论通配符匹配的概念。

service firebase.storage {
  // The {bucket} wildcard indicates we match files in all Cloud Storage buckets
  match /b/{bucket}/o {
    // Match filename
    match /filename {
      allow read: if <condition>;
      allow write: if <condition>;
    }
  }
}

所有match语句均指向文件。 match语句可以指向特定文件,如match /images/profilePhoto.png

匹配通配符

除了指向单个文件之外,Rules可以使用通配符指向名称中具有给定字符串前缀(包括斜杠)的任何文件,例如match /images/{imageId}

在上面的示例中,match语句使用{imageId}通配符语法。这意味着该规则适用于名称以/images/开头的任何文件,例如/images/profilePhoto.png/images/croppedProfilePhoto.png 。当对match语句中的allow表达式求值时, imageId变量将解析为图像文件名,例如profilePhoto.pngcroppedProfilePhoto.png

可以从match引用通配符变量以提供文件名或路径授权:

// Another way to restrict the name of a file
match /images/{imageId} {
  allow read: if imageId == "profilePhoto.png";
}

分层数据

如前所述,Cloud Storage存储桶内部没有层次结构。但是通过使用文件命名约定(通常是在文件名中包含斜杠的约定),我们可以模仿看起来像嵌套目录和子目录系列的结构。了解Firebase安全规则如何与这些文件名交互非常重要。

考虑一组名称都以/images/开头的文件的情况。 Firebase安全规则仅适用于匹配的文件名,因此/images/主干上定义的访问控制不适用于/mp3s/主干。而是编写与不同文件名模式匹配的显式规则:

service firebase.storage {
  match /b/{bucket}/o {
    match /images/{imageId} {
      allow read, write: if <condition>;
    }

    // Explicitly define rules for the 'mp3s' pattern
    match /mp3s/{mp3Id} {
      allow read, write: if <condition>;
    }
  }
}

当嵌套match语句时,内部match语句的路径总是附加在外部match语句的路径之后。因此,以下两个规则集是等效的:

service firebase.storage {
  match /b/{bucket}/o {
    match /images {
      // Exact match for "images/profilePhoto.png"
      match /profilePhoto.png {
        allow write: if <condition>;
      }
    }
  }
}
service firebase.storage {
  match /b/{bucket}/o {
    // Exact match for "images/profilePhoto.png"
    match /images/profilePhoto.png {
      allow write: if <condition>;
      }
  }
}

递归匹配通配符

除了在文件名末尾匹配并返回字符串的通配符之外,还可以通过在通配符名称中添加=**来声明多段通配符,以进行更复杂的匹配,例如{path=**}

// Partial match for files that start with "images"
match /images {

  // Exact match for "images/**"
  // e.g. images/users/user:12345/profilePhoto.png is matched
  // images/profilePhoto.png is also matched!
  match /{allImages=**} {
    // This rule matches one or more path segments (**)
    // allImages is a path that contains all segments matched
    allow read: if <other_condition>;
  }
}

如果多个规则与一个文件匹配,则结果为所有规则评估结果的OR 。也就是说,如果文件匹配的任何规则求true ,则结果为true

在上述规则中,如果conditionother_condition评估为true,则可以读取文件“ images / profilePhoto.png”,而文件“ images / users / user:12345 / profilePhoto.png”仅受other_condition的结果影响。

云存储安全规则不会级联,并且仅当请求路径与具有指定规则的路径匹配时才评估规则。

版本1

Firebase安全规则默认使用版本1。在版本1中,递归通配符匹配一个或多个文件名元素,而不是零个或多个元素。因此, match /images/{filenamePrefixWildcard}/{imageFilename=**}匹配文件名,例如/images/profilePics/profile.png,但不匹配/images/badge.png。请改用/images/{imagePrefixorFilename=**}

递归通配符必须位于match语句的末尾。

我们建议您使用版本2以获得更强大的功能。

版本2

在Firebase安全规则的版本2中,递归通配符匹配零个或多个路径项。因此, /images/{filenamePrefixWildcard}/{imageFilename=**}匹配文件名/images/profilePics/profile.png和/images/badge.png。

您必须通过添加rules_version = '2';来选择加入版本2 rules_version = '2';在安全规则的顶部:

rules_version = '2';
service cloud.storage {
  match /b/{bucket}/o {
   ...
 }
}

每个match语句最多可以有一个递归通配符,但是在版本2中,可以将此通配符放在match语句中的任何位置。例如:

rules_version = '2';
service firebase.storage {
 match /b/{bucket}/o {
   // Matches any file in a songs "subdirectory" under the
   // top level of your Cloud Storage bucket.
   match /{prefixSegment=**}/songs/{mp3filenames} {
     allow read, write: if <condition>;
   }
  }
}

精细操作

在某些情况下,将readwrite分解为更精细的操作很有用。例如,您的应用可能希望在文件创建时强制执行与在文件删除时强制执行不同的条件。

read操作可以分为getlist

write规则可以分为createupdatedelete

service firebase.storage {
  match /b/{bucket}/o {
    // A read rule can be divided into read and list rules
    match /images/{imageId} {
      // Applies to single document read requests
      allow get: if <condition>;
      // Applies to list and listAll requests (Rules Version 2)
      allow list: if <condition>;

    // A write rule can be divided into create, update, and delete rules
    match /images/{imageId} {
      // Applies to writes to nonexistent files
      allow create: if <condition>;

      // Applies to writes to existing files
      allow update: if <condition>;

      // Applies to delete operations
      allow delete: if <condition>;
    }
  }
 }
}

重叠匹配语句

一个文件名可以匹配多个match语句。在多个的情况下allow的表达式匹配的请求,所述访问被允许,如果任何一个条件是true

service firebase.storage {
  match b/{bucket}/o {
    // Matches any filename containing string '/images/'.
    match /images/{imageId} {
      allow read, write: if false;
    }

    // Matches all filenames containing string `/images/`
    match /images/{imageId=**} {
      allow read, write: if true;
    }
  }
}

在上面的示例中,由于第二条规则始终为true ,即使第一条规则始终为false ,也允许对文件名中位于字符串/images/文件进行所有读写操作。

规则不是过滤器

保护数据安全并开始执行文件操作后,请记住,安全规则不是筛选器。您无法对匹配文件名模式的一组文件执行操作,并且期望Cloud Storage仅访问当前客户端有权访问的文件。

例如,采用以下安全规则:

service firebase.storage {
  match /b/{bucket}/o {
    // Allow the client to read files with contentType 'image/png'
    match /aFileNamePrefix/{aFileName} {
      allow read: if resource.contentType == 'image/png';
    }
  }
}

拒绝:此规则拒绝以下请求,因为结果集可以包含contentType不是image/png

网页
filesRef = storage.ref().child("aFilenamePrefix");

filesRef.listAll()
    .then(function(result) {
      console.log("Success: ", result.items);
    })
});

Cloud Storage Security规则中的规则会根据每个查询的潜在结果评估每个查询,如果该查询可以返回客户端没有读取权限的文件,则该请求将失败。访问请求必须遵循您的规则设置的约束。

下一步

您可以加深对云存储的Firebase安全规则的了解:

您可以浏览特定于Cloud Storage的Firebase安全规则用例: