如何在 Firestore 规则中同时发生两个查询

Question

我在应用程序中有一个敏感字段“goldCoins”，当用户正确回答问题时，“goldCoins”会增加，并且每个问题应该只增加一次。 字段 'goldCoins' 在集合 'scorecard' 中，而所有正确回答的问题都存储在文档'userid/quizcode/questionNumber'中。

现在要更新“goldCoins”，一旦我需要检查以记录“questionNumber”，这是两个查询，但这是一个安全漏洞，因为任何人都可以轻松绕过检查“questionNumber”并增加值。

这是我的记分卡结构：

这是文档问题编号：

这是完成“goldCoins”增量的代码：

public boolean onEnter(String answer, Boolean onTime) {

  if (answer.equals(getValue().getAnswer())) {

    userScorecard.update("score", FieldValue.increment(getValue().getDifficulty()));
    userMetaScorecard.collection(quizName).document(String.valueOf(getValue().getQuestionNumber())).get().addOnSuccessListener(documentSnapshot ->{
      if (documentSnapshot.exists());
      else {
        userScorecard.update("goldCoins", FieldValue.increment(1));

        QuestionSolved qs = new QuestionSolved(onTime, FieldValue.serverTimestamp());
        userMetaScorecard.collection(quizName).document(String.valueOf(getValue().getQuestionNumber())).set(qs);
      }
    });

您可以很容易地看到“goldCoins”的嵌套增量可以通过将其从循环中取出来绕过。

我能想到的唯一检查是检查“goldCoins”是否仅增加 1 的值。 规则是：

function shouldUpdateGold(){
   return request.resource.data.goldCoins <= resource.data.goldCoins+1 ||
   !request.resource.data.keys().hasAny(['goldCoins'])
   }

match /scorecard/{userId}{
  allow get: if isSignedIn(); 
  allow list: if isSignedin() && request.query.limit<=3;
  allow create : if isSignedIn() && isUser(request.resource.id);
  allow update : if isSignedIn() && shouldUpdateGold()
  }

现在我应该如何检查每个问题一次更新“goldCoins”，任何架构更改也将受到欢迎。

Answer 1

从客户端写入关键数据是个坏消息。 我推荐两种解决方案之一，都涉及 Cloud Function：

1. REST API - Remove write access to your RTDB and then set up a REST API on Cloud Functions/Run that sets the data thus preventing users from arbitrarily altering database values.

2. RTDB 触发器- 创建订阅onUpdate()的云 Function，以便在正确回答问题时 function 将更新用户的金币总数。 应禁用对/scorecard/{id}/goldCoins的客户端写入访问。