给定特定的经过身份验证的用户 (uid) 的 android 应用程序，无法为顶级集合（列表权限）编写 Firestore 安全规则

Question

我刚刚开始使用 Firebase 服务（firestore），我不知道为什么以下不起作用。

这是我的安全规则文件：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents/{document=**} {
    allow read, write: if request.auth.uid == resource.data.user_id;
  }
}

我的数据库结构如下：

称为备忘录的顶级集合包含文档。 在我的示例中，我只有一个“H5i5p0zenBwkV7vsS12G”。 它以其自动生成的 ID 命名。 该文档有 2 个数据字段。 一个“user_id”字符串数据等于“7llpal4k0xVxILawceAPPsJe3Vy1”，一个“title”字符串数据等于“Hello Firestore User”。

   /memos/H5i5p0zenBwkV7vsS12G with some data: {
      title: "Hello Firestore User"
      user_id: "7llpal4k0xVxILawceAPPsJe3Vy1"
    }

当我使用测试工具和我的 android 应用程序运行get (/databases/(default)/documents/memos/H5i5p0zenBwkV7vsS12G) 操作时，它工作得很好。

但每次我要求使用备忘录收藏列表

Firebase.firestore.collection("memos")

它因权限被拒绝异常而失败。 这是相关的日志：

2021-11-08 19:36:00.946 2996-3045/com.ygoular.memo I/Firestore: (23.0.4) [WatchStream]: (e04cf9f) Stream sending: # com.google.firestore.v1.ListenRequest@7a872c89
      add_target {
        query {
          parent: "projects/memo-da978/databases/(default)/documents"
          structured_query {
            from {
              collection_id: "memos"
            }
            order_by {
              direction: ASCENDING
              direction_value: 1
              field {
                field_path: "__name__"
              }
            }
          }
        }
        target_id: 2
      }
      database: "projects/memo-da978/databases/(default)"
2021-11-08 19:36:00.946 2996-3045/com.ygoular.memo I/Firestore: (23.0.4) [FirestoreCallCredentials]: Successfully fetched token.

2021-11-08 19:53:05.815 4440-4480/com.ygoular.memo I/Firestore: (23.0.4) [WatchStream]: (2faa0c0) Stream received: # com.google.firestore.v1.ListenResponse@c4bcaabe
    target_change {
      cause {
        code: 7
        message: "Missing or insufficient permissions."
      }
      target_change_type: REMOVE
      target_change_type_value: 2
      target_ids: 2
    }

此调用是在经过身份验证后进行的。 我确信我的应用程序在那一刻已经过身份验证，因为如果我使用以下内容修改安全规则：

allow read, write: if request.auth.uid != null

它通过并返回可用的备忘录。 我也确定用户 ID 应该匹配，因为我粘贴了返回的值

FirebaseAuth.getInstance().currentUser.uid

执行电话身份验证后，到数据库中的备忘录“user_id”字段。 对于该提供商（电话），此 ID 永远不会更改。

这是从 logcat 中获得的 uid：

2021-11-08 19:53:05.633 4440-4440/com.ygoular.memo E/Test: uid: 7llpal4k0xVxILawceAPPsJe3Vy1

我可以完成这项工作的唯一方法是创建一个顶级集合 /users ，其文档名称作为其用户 ID。 在这种情况下，文档包含子集合 /memos 并且规则看起来像这样：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents/users/{userId}/{anythingBehind=**} {
    allow read, write: if request.auth.uid == userId;
  }
}

如果您知道如何解决此问题，请告诉我！ ：） 非常感谢。

Answer 1

规则不是过滤器

我再说一遍

规则不是过滤器

事实上，我会让文档再次重复一遍：

https://firebase.google.com/docs/firestore/security/rules-query

规则不检查每个记录以查看每个记录是否被允许。 规则检查以查看查询 AS WRITTEN是否可能与不允许的记录匹配 - 在这种情况下，不允许使用 ENTIRE QUERY。 它甚至不检查其中一条记录是否可以工作 - 您必须执行至少指定 user_Id 字段的查询。