firebase-authentication - 云 Firestore : setting security rule based on authentication

Question

我想了解它是基于身份验证的安全规则有多安全，如下所示:

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
  }
}

我有一个集合，其中每个文档都与特定用户相关。

我仅通过移动设备(Android 和 iOS)使用 Cloud Firestore，而不是通过网络。

有没有办法让用户在我的移动应用程序之外获得身份验证，从而读取或写入其他用户的文档？

Answer 1

如果您想确保用户无法读取彼此的信息，您应该实现比 auth != null 更强的规则。

例如，这些规则使您只能在 /users/userId 处读取和写入数据，前提是您以 userId 身份进行身份验证。

service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userId} {
      // Anybody can write to their ouser doc
      allow read, write: if request.auth.uid == userId;
    }
  }
}

如您所述，这将使某人无法“在我的移动应用程序之外获得身份验证，从而读取或写入其他用户的文档”。