Firebase 9，混音：addDoc() 返回“PERMISSION DENIED”错误

Question

我有一个使用 firebase 和一个 Firestore 数据库的混音应用程序。

登录工作正常，GET /documents 也是如此（GET 没有规则）

当我尝试使用addDoc()创建一个新文档时，我收到一个PERMISSION DENIED错误。

我的规则：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow create, update, delete: if request.auth != null && request.auth.token.email_verified && request.auth.token.email == 'my_email@gmail.com';
      allow read: if true;
    }
  }
}

由于我使用 Remix (SSR)，我在客户端初始化 firebase：

if (getApps().length === 0) {
  initializeApp({
    apiKey: "...",
    authDomain: "...",
    projectId: "...",
    storageBucket: "...",
    messagingSenderId: "...",
    appId: "...",
    measurementId: "...",
  });
}

我在服务器端有firebase-admin ：

const serviceAccount = require("~/firebase-service-account.json");
serviceAccount.private_key_id = process.env.FIREBASE_PRIVATE_KEY_ID;
serviceAccount.private_key = process.env.FIREBASE_PRIVATE_KEY;

if (getApps().length === 0) {
  admin.initializeApp({
    credential: admin.credential.cert(serviceAccount),
  });
}

我在客户端使用 Google 身份验证，如下所示：

const submit = useSubmit();

const signInWithGoogle = async () => {
  const provider = new GoogleAuthProvider();
  const { user } = await signInWithPopup(auth, provider);

  if (user) {
    const formData = new FormData();
    formData.set("user", JSON.stringify(user));
    submit(formData, { method: "post" });
  }
};

然后formData由我的服务器端代码处理，并使用auth().createSessionCookie()创建一个 sessionCookie。

Everything works fine in my dashboard (only accessible by logged-in users, I am using auth().verifySessionCookie() to check that) until I create a new document with the addDoc function from firebase 9. auth comes from firebase firebase-admin package .

这是我使用的代码：

const addDocument = async <T>(name: string, data: T): Promise<T> => {
  console.log(getAuth().currentUser) // null
  await addDoc(collection(db, name), data as Record<string, any>);

  cache().deleteEntry(name);

  return data;
};

当我的写入规则设置为true时，它可以正常工作，但是当我输入request.auth != null时出现权限错误，所以我猜问题出在身份验证部分。

Answer 1

While you may be using the Admin SDK on the server, that last code snippet is definitely a regular JavaScript SDK (as the Admin SDK doesn't have the concept of a currentUser ). 当您在客户端登录用户时，state 不会自动传输到您的服务器端代码。

直到最近，从服务器访问 Firebase 的最常用方法是使用管理员 SDK（绕过安全规则）并在应用程序代码中执行任何授权检查。

您可以在服务器上使用常规的 JavaScript SDK，但您必须自己确保其登录 state。 为 Next.js 和 Angular Universal 自动执行此操作正在进行一些工作，但对于 Remix.run 还没有。 这些是如何工作的（以及你必须做的）是它们：

1. 在 session cookies 中传递登录信息
2. 使用管理员 SDK验证服务器端代码中的 ID 令牌。
3. 如果验证成功，他们会为用户铸造一个自定义令牌。
4. 然后在常规 JavaScript SDK 中使用该自定义令牌登录。

您需要确保每个用户都有一个单独的FirebaseApp / Auth实例，并且可能希望为这些用户设置一个 LRU 缓存，以防止在每次调用时都必须执行该转换。