如何使用嵌套安全规则从 Firebase 数据库中获取所有资源？

Question

在firebase中，是否可以配置一个规则，以便在获取父资源时，它只返回用户访问的子项目？

我有这样的数据结构：

{
  application_access_request: {
    app_id_1: {
      access_key_1: {
        email: "abc@b.com"
      },
    },
    app_id_2: {
      access_key_2: {
        email: xyz@c.com
      },
    }
  }
}

然后我有这样的规则：

{
  "application_access_request": {
      "$appId": {
        "$accessId": {
          ".read": "data.child($accessId).child('email').val() === auth.token.email",
        },
      }
    },
}

作为使用 email abc@b.com登录的用户，当我从application_access_request/请求所有资源时，我希望app_id_1及其子项可访问/返回给用户，

是否可以允许读取所有application_access_request但只返回授权用户有权访问的应用程序？

Answer 1

不，安全规则不能用于有选择地返回信息（请参阅规则不是过滤器）。 但是，您可以使用查询来解决此用例。 例如，如果您的数据是结构化的：

{
  application_access_request: {
    app1: {
      access_key: "user@example.com"
    },
    app2: {
      access_key: "user2@example.com"
    }
  }
}

您可以使用基于查询的规则来限制查询：

"application_access_request": {
  ".read": "auth.uid != null && auth.token.email_verified &&
            query.orderByChild == 'access_key' &&
            query.equalTo == auth.token.email"
}