如何使用嵌套安全規則從 Firebase 數據庫中獲取所有資源？

Question

在firebase中，是否可以配置一個規則，以便在獲取父資源時，它只返回用戶訪問的子項目？

我有這樣的數據結構：

{
  application_access_request: {
    app_id_1: {
      access_key_1: {
        email: "abc@b.com"
      },
    },
    app_id_2: {
      access_key_2: {
        email: xyz@c.com
      },
    }
  }
}

然后我有這樣的規則：

{
  "application_access_request": {
      "$appId": {
        "$accessId": {
          ".read": "data.child($accessId).child('email').val() === auth.token.email",
        },
      }
    },
}

作為使用 email abc@b.com登錄的用戶，當我從application_access_request/請求所有資源時，我希望app_id_1及其子項可訪問/返回給用戶，

是否可以允許讀取所有application_access_request但只返回授權用戶有權訪問的應用程序？

Answer 1

不，安全規則不能用於有選擇地返回信息（請參閱規則不是過濾器）。 但是，您可以使用查詢來解決此用例。 例如，如果您的數據是結構化的：

{
  application_access_request: {
    app1: {
      access_key: "user@example.com"
    },
    app2: {
      access_key: "user2@example.com"
    }
  }
}

您可以使用基於查詢的規則來限制查詢：

"application_access_request": {
  ".read": "auth.uid != null && auth.token.email_verified &&
            query.orderByChild == 'access_key' &&
            query.equalTo == auth.token.email"
}