Permesso specifico per l'accesso in scrittura da parte degli utenti

Question

Sono piuttosto bloccato sulle regole di lettura/scrittura Firebase. Vorrei avere un modo per impostare i punti di interruzione mentre controlla l'autenticazione (non c'è un modo, c'è?).

La mia domanda è abbastanza semplice e sento che dovrei essere in grado di capirlo meglio. Mi sento come se la maggior parte degli steli non comprendesse pienamente le regole. Queste informazioni rappresentano un modo semplice per visualizzare i prodotti online e il proprietario deve essere in grado di aggiungere prodotti. Quindi voglio che il mondo sia in grado di leggere e le persone che accedono possano scrivere.

miei dati assomiglia:

app 
Users 
    email: xxx@xxx.com 
product 
    0 
    name: pizza 

E le mie regole:

{ 
    "rules": { 
     "product":{ 
     ".read": true, 
     ".write":"root.child('Users').child(auth.uid).child('email').val() === 'testuser@test.com'" 
     } 
    } 
} 

e non ho una grande comprensione di ciò che questo significa. Voglio solo dire, se l'utente è loggato, consentire le capacità di scrittura. Speravo di poter avere qualcosa come ".write": "auth" che significa che se esiste un'autenticazione (l'utente ha effettuato l'accesso) lascia che lo scriva. Ma chiaramente non capisco appieno come funzionano le regole. Sto usando una semplice autenticazione email/password.

Come vengono testate queste regole e come posso passare loro i parametri?

Answer 1

Cercherò di spiegare il vostro .write sicurezza regola, che è:

"root.child('Users').child(auth.uid).child('email').val() === 'testuser@test.com'" 

Questo non è davvero la regola più semplice per iniziare e la documentazione Firebase tuffa certamente prendere il largo piuttosto rapidamente.

Dopo accedo al mio applicazione con Twitter, il mio codice otterrà una variabile authData che gli dice:

authData 
    uid: "twitter:4511241" 
    provider: "twitter" 
    id: "4511241" 

Ci potrebbe essere un paio di proprietà, ma questo dovrebbe essere l'essenza di esso. AuthData in genere conterrà un oggetto figlio con proprietà specifiche del provider, quindi in questo caso twitter e di solito è possibile trovare alcune cose interessanti. Come nel caso di Twitter, il nome twitter dell'utente.

authData 
    uid: "twitter:4511241" 
    provider: "twitter" 
    id: "4511241" 
    twitter: 
     userName: "puf" 
     email: "puf@twitter.com" // note: this is just an example email address, 
            // it doesn't exist (as far as I know) 

Questo oggetto è reso disponibile per il mio codice, non viene memorizzato in qualsiasi parte Firebase per impostazione predefinita.

Nelle regole di sicurezza è possibile verificare la stessa struttura. Ma solo un sottoinsieme minimo delle informazioni è disponibile qui, quanto basta per identificare l'utente. I nomi Firebase documentation for the auth object queste proprietà:

fornitore | Il metodo di autenticazione utilizzato ("password", "anonimo", "facebook", "github", "google" o "twitter").

uid | Un ID utente univoco, garantito per essere univoco tra tutti i provider.

Con queste proprietà, possiamo già consentire a un utente specifico accesso in scrittura ai nostri dati. Come ho detto nel mio commento alla risposta:

".write": "auth.uid = 'twitter:4511241'" 

Questo mi permetterà di scrivere i dati quando accedo con il mio account Twitter @puf. Ma sfortunatamente non mi permette di verificare le proprietà più user-friendly, come l'indirizzo email.

Una pratica comune è quella di creare un nodo di livello superiore Users nel Firebase e aggiungere tutte le informazioni per tutti gli utenti in tale nodo, identificati dal loro uid. Quindi, nel mio caso di cui sopra:

Users 
    twitter:4511241 
     userName: "puf" 
     displayName: "Frank van Puffelen" 
     email: "puf@twitter.com" 
    github:913631 
     userName: "puf" 
     displayName: "Frank van Puffelen" 
     email: "puf@github.com" 

ho lasciato il provider e id fuori qui, dal momento che non offrono molto valore per l'esempio

Quando si sa di uid un utente, è possibile guardare in alto le sue informazioni aggiuntive in questo nodo. E questo è esattamente ciò che le norme di sicurezza che aveva prima does:

"root.child('Users').child(auth.uid).child('email').val() === 'testuser@test.com'" 

Quindi questo guarderà dalla radice del vostro Firebase, per un nodo chiamato utenti, quindi per la uid del utenti registrati e sotto che la sua/il suo indirizzo email

La cosa interessante del controllo di un indirizzo e-mail specifico è che non è legato al provider dell'utente. Quindi, indipendentemente dal fatto che l'utente sia connesso con twitter, github, facebook o qualche altro provider supportato, a condizione che utilizzino lo stesso indirizzo email per ciascun account, saranno in grado di scrivere i dati.

Answer 2

Fare il sotto sembrava fare il trucco. Se la variabile auth esiste, quindi consentire le abilità di scrittura. A causa di me non comprendere appieno queste regole, mi chiedo se questo è in esecuzione contro l'utente corrente o se è il controllo per vedere se un utente è connesso.

{ 
    "rules": { 
     "product":{ 
     ".read": true, 
     ".write":"auth !== null" 
     } 
    } 
}