Firestore安全规则：批处理时出现“PERMISSION DENIED”错误

Question

Firestore安全规则：批处理时出现“PERMISSION DENIED”错误

androidfirebasegoogle-cloud-firestorefirebase-security

5

考虑这个简单的Firestore数据库结构：

1：Firestore 结构

cities/
    city1/
        name:Beijing
        likes: 0
        dislikes: 0
        ... more fields 
    city2/
        name: New York
        likes: 21
        dislikes: 1
        ... more fields

为保护数据库免受意外操作的影响，我添加了以下Firestore安全规则：

2个Firestore安全规则：

// Allow read/write access to all users under any conditions
service cloud.firestore {
  match /databases/{database}/documents {    
    match /cities/{cityId} {
      allow read: if request.auth.uid != null;
      allow update: if request.auth.uid != null && 
request.resource.data.keys().hasOnly(["likes", "dislikes"]); 
    }
  }
}

这基本上允许我强制执行以下要求：

已认证的用户可以读取城市数据。
已认证的用户可以更新城市的“喜欢”和“不喜欢”字段。

问题

当我尝试使用批量写入时，为什么上述设置会给我一个Exception: PERMISSION_DENIED: Missing or insufficient permissions.，但如果我单独编写更改，则成功了呢？

例如下面的代码（使用Batch write）失败：PERMISSION_DENIED: Missing or insufficient permissions。

fun rate(likes: List<String>, dislikes: List<String>, done: (Boolean) -> Unit) {

    db.runBatch { batch ->
        likes.map { cityCollection.document(it) }.forEach { doc ->
            batch.update(doc,"likes", FieldValue.increment(1))
        }
        dislikes.map { cityCollection.document(it) }.forEach { doc ->
            batch.update(doc,"dislikes", FieldValue.increment(1))
        }
    }.addOnCompleteListener { task ->
        task.exception() // Exception: PERMISSION_DENIED: Missing or insufficient permissions.
        done(task.isSuccessful) // false
    }
}

如果不进行批处理，代码可以正常工作。例如，以下代码可以完美运行：

override fun rate(likes: List<String>, dislikes: List<String>, done: (Boolean) -> Unit) {

    val tasks = likes.map { cityCollection.document(it) }.map { doc ->
        doc.update("likes", FieldValue.increment(1))
    }.union(dislikes.map { cityCollection.document(it) }.map { doc ->
        doc.update("dislikes", FieldValue.increment(1))
    })

    Tasks.whenAllComplete(tasks).addOnCompleteListener { task ->
        done(task.isSuccessful) // true
    }
}

在批量写入/事务方面，是否有什么特殊的需要我在安全规则方面了解的？我希望这些更新能够原子执行，因此一开始尝试使用批量写入。然而，我似乎无法将其与我的安全规则结合使用。

- Entreco

2个回答

0

您的文档request.resource.data对象可能会有更多的字段，而不仅仅是“likes”和“dislikes”，这将导致规则失败。检查哪些字段已更改的新规范方法是通过将文档与现有文档进行差异化比较（这替换了“writeFields”）。我已经编辑了您的规则以显示此内容：

service cloud.firestore {
  match /databases/{database}/documents {    
    match /cities/{cityId} {
      function onlyLikedFieldUpdated() {
        return request.resource.data.diff(resource.data).affectedKeys().hasOnly(["likes", "dislikes"]);
      }
      allow read: if request.auth.uid != null;
      allow update: if request.auth.uid != null && onlyLikedFieldUpdated();
    }
  }
}

- Scott Crossen

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Doug Stevenson · Accepted Answer

你需要知道的是，request.resource.data.keys() 包含现有文档中所有的键，而不仅仅是正在更新的键。如果允许写操作完成，request.resource.data 表示文档的最终状态。因此，如果你要更新已经包含其他字段的文档，你的规则将始终拒绝访问，因为 hasOnly 将返回 false。

由于在两种情况下都没有显示现有文档的内容，所以很难准确地说这是代码出了什么问题。但几乎可以肯定的是，这就是问题所在。无论更新是来自单个文档写入、批量更新还是事务，它们都受相同规则的限制。

（过去可以使用一个名为 writeFields 的属性来找出正在更新的字段，但这已被弃用 - 不要使用它。）

如果你想执行每个字段的限制，实际上要比你现在编写的要复杂得多。你必须检查特定字段是否已被修改，同时还要检查没有其他字段被更改。详见这个问题：

Cloud Firestore安全规则 - 仅允许写入文档中特定的键