Ограничить вход в Firestore Gmail для определенного домена

Похоже, для этого нет надежного решения Firestore, но у меня есть составное решение:

• Правило безопасности при первом доступе к сбору данных, где я проверяю домен электронной почты.
• Ошибка catchError при извлечении данных, при которой я проверяю код ошибки "доступ запрещен".
• Обработчик ошибок, который вызовет службу аутентификации и принудительно завершит сеанс с перенаправлением на неавторизованную страницу.

Извините за вставку фрагментов, но мне не удалось заставить программу форматирования отформатировать весь код.

Код моего компонента:

  ngOnInit(): void {
    this.leadsDataSubscription = this.leadService.getLeadsSnapshot()
      .pipe(
        catchError((e: any) => Observable.throw(this.errorHandler(e)))
      )
      .subscribe(data => {
        this.leadsDataSource.data = data;
        this.leadsDataSource.paginator = this.paginator;
        this.leadsDataSource.sort = this.sort;
      });
    this.currentUser = this.authSvc.getCurrentUser();
  }

  private errorHandler(error: any) {
    if (error.name === 'FirebaseError' && error.code === 'permission-denied') {
      this.leadsDataSubscription.unsubscribe()
      this.authSvc.logout('/unauthorized');
    }
  }

Мой сервисный код

  logout(redirectURL?: string) {
    this.unsubscribe()
    this.afAuth.auth.signOut()
      .then(response => {
        this.snackBar.open('Signed out');
        this.router.navigate([redirectURL || '/']);
      })
      .catch(error => this.snackBar.open('Error signing out: ' + error));
  }

И правила Firestore:

match /leads/{document=**} {
  allow read: if isAllowedDomain() && isSignedIn();
  allow update: if isAllowedDomain() && isSignedIn() && canUpdate()
  allow delete: if isAllowedDomain() && isSignedIn() && isCreator() && canWrite() || isGod()
  allow create: if isAllowedDomain() && isSignedIn() && userExists();
}
function isAllowedDomain() {
    return request.auth.token.email_verified == true &&
               request.auth.token.email.matches(".*@workdomain.se") ||
               request.auth.token.email.matches(".*@privatedomain.org")
}

Вы не можете ограничивать домены в аутентификации по электронной почте или в аутентификации Gmail. Это компромисс, на который вы должны пойти при использовании стороннего решения, например Firebase, для аутентификации.

В случае аутентификации gmail на Android вы можете сначала прочитать учетные записи Gmail, доступные на устройстве, а затем отображать учетные записи только в том случае, если домен совпадает. Таким образом, вы можете хотя бы ограничить пользователя на уровне пользовательского интерфейса определенным доменом.

НО будьте осторожны, пользователь все равно может выполнить еще один вход в домен, поскольку firebase позволяет всем учетным записям Gmail использовать аутентификацию. Вы ограничиваете только пользовательский интерфейс, а не систему