Firebase Firestore 安全规则如何链接逻辑运算符 AND / OR？

Question

这是我的应用程序的聊天部分。 聊天消息位于一个集合中，通过将 usersID 与friendsID 进行散列来命名。 每个消息文档都以其时间戳命名。

此安全规则拒绝访问集合的所有尝试：

    match /messages/{messageThreadId}/{messageCollectionId}/{timeStamp} {
      allow read, write, update, delete: if request.auth != null 
&& (resource.data.idFrom == request.auth.uid || resource.data.idTo == request.auth.uid);
      allow create: if request.auth != null;
    }

我已经尝试了很多东西，删除了 OR 运算符周围的括号，将 ID 硬编码为规则中的字符串，这是一个提示。 我尝试回拨规则以允许任何人登录，这确实有效，但不能保护用户的消息。 所以这条规则的实际作用是有问题的。

规则在做什么，或者它有什么问题？ 如何使用消息文档的ifFrom和IdTo字符串字段进行过滤？ 是否允许在规则中使用多个逻辑运算符？ 逻辑周围的括号是否按您的预期运行？

这是失败的 Firestore 查询：

StreamBuilder(
              stream: FirebaseFirestore.instance
                  .collection('messages')
                  .doc(groupChatId)
                  .collection(groupChatId)
                  .orderBy('timestamp', descending: true)
                  .limit(20)
                  .snapshots(),

我需要它，所以只有发送或接收消息的人才能阅读它，我需要安全规则来防止窃听。

这是一个消息文档：

Answer 1

感谢@LeadDreamer，我有一个解决方案。

LeadDreamer 表示，要通过 Firestore 规则的查询，查询的所有结果也必须通过 Firestore 规则。 因此，如果您有一组蓝色大象和一个有钱人，并且您使用“仅接受蓝色大象的查询”的规则来保护它，然后在 Firestore 中查询“请提供所有内容”，这很难。 让蓝象穿过针眼比让富人绕过 Firestore 的安全规则更容易。 谚语。

所以我需要重新配置消息文档，以便可以根据用户的request.auth.uid检查 Id，我将它们放在消息文档中的数组 firebaseIds 中。 我从我的 flutter 应用程序中查询了我的消息集合：

  : StreamBuilder(
      stream: FirebaseFirestore.instance
          .collection('messages')
          .doc(groupChatId)
          .collection(groupChatId)
          .where("firebaseIds", arrayContains: prefs.getString('firebaseId'))
          .orderBy('timestamp', descending: true)
          .limit(20)
          .snapshots(),

然后规则查询用户auth.uid的每个消息记录数组：

   match /messages/{messageThreadId}/{messageCollectionId}/{timeStamp} {
      allow read, write, update, delete: if request.auth != null 
        && request.auth.uid in resource.data.firebaseIds;
      allow create: if request.auth != null;
   }

恶意用户的缺陷可能会破解与他们通信的人的聊天消息，并删除或更新他们的消息或向他们写消息。 他们只能在与他们的消息线程中这样做，所以我不认为这是一种威胁。

Firebase 需要自动为我创建一个复合索引，以使这一切正常工作。