将 firestore 中的消息限制为用户 ID 列表

Question

我已经接管了一个项目，该项目在 firestore 中具有以下数据 model：

/聊天/{chatId}/消息/{messageId}

/Chat/{chatId}
{
  users: ["24","51"]
  messages: [ //collection
    {message:"...", sender: 24, time:"...", users: ["24","51"]},
  ]
}

通过 flutter 我正在通过以下方式阅读聊天：

StreamBuilder<QuerySnapshot>(
  stream: FirebaseFirestore.instance
             .collection("Chat")
             .doc(chatID.toString())
             .collection("messages")
             .orderBy("time", descending: false)
             .snapshots(),

我需要确保只允许参与聊天的两个用户阅读消息，但很难做到。

我目前的规则是这样的：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {  
    match /Chat/{chatId}{
      allow read: if "24" in resource.data.users //24 is being replaced with request.auth.uid when it works
      allow write
      
      match /messages/{messageId}{
        allow read: if "24" in resource.data.users //24 is being replaced with request.auth.uid when it works
        allow write
        }
    }
  }
}

有了上面的内容，我在尝试通过 flutter 列出聊天时遇到权限错误，它给出了错误：

Chat/1103/messages failed: Missing or insufficient permissions.

如何编写只有两个用户能够读取和写入消息的规则？

Answer 1

安全规则不过滤数据。 相反，它们只是确保您的代码不会尝试读取超出授权范围的数据。

由于您的规则规定代码只能读取用户是协作者的消息，因此您的代码也应该将其读取限制为此类消息。 所以：为您的查询添加一个条件：

where('users', whereArrayContains: 'uidOfCurrentUser')

有了这个附加条件，规则可以看到您没有尝试读取超过允许的数据。