Правила безопасности Firestore получают поле/идентификатор ссылки

Я вижу здесь пару проблем. Первая проблема заключается в том, что функция get() ожидает полностью указанный путь к документу, например:

get(/databases/$(database)/documents/users/$(resource.data.landlordID)).data.id

Вторая проблема заключается в том, что вы пытаетесь использовать ссылочный тип в своих правилах, к сожалению, я не думаю, что это возможно.

Ссылочный тип в Firestore не очень полезен (пока), я думаю, что вы должны хранить идентификатор лендлорда в виде строки, тогда вы можете просто сделать что-то вроде:

service cloud.firestore {

      match /databases/{database}/documents {

        match /tenancies/{tenancyID}{

            allow update: if request.auth.uid != resource.data.landlordID;

    }

}

У меня была та же проблема, на которую мне нужен был ответ. См. этот гугл-тред с ответом от кого-то из Google. Цитирую:

You can get an id out of a path using the "index" operator:

some_document_ref should look like /databases/(default)/documents/foo/bar

which has 5 segments: ["databases", "(default)", ...]

some_document_ref[4] should be "bar" allow create: if request.resource.data.some_document_ref[4] == "bar";

You can also use the normal get and exists functions on them.

A few difficult aspects of this that you may run into:

• There's no way to retrieve the number of segments in a path at the moment (we're adding this soon), so you'll need to know some information about the reference ahead of time

• There's not great support for writing references using the simulator in the Firebase Console. I used the Firestore emulator to test out this behavior (gist1, gist2)

Вот функция, которую я сделал, которая работает для меня. Я предполагаю, что у вас есть коллекция пользователей, в которой пользователи имеют такие же id, как и их auth.uid.

    function isUserRef(field) {
      return field in resource.data
        && resource.data[field] == /databases/$(database)/documents/users/$(request.auth.uid)
    }

Приспосабливаясь к вашему варианту использования, вы бы назвали функцию так: isUserRef('landlordID') хотя идентификатор в конце немного вводит в заблуждение, поскольку это поле на самом деле является ссылкой.

может быть слишком поздно, но я смог собрать воедино (несмотря на отсутствие документов), что ссылка на документ — это просто путь, а полный путь можно создать с помощью

/databases/$(database)/documents/users/$(request.auth.uid)

Затем у меня есть массив/список в firestore ссылок, называемый reads, с помощью которого я могу получить:

get(/databases/$(database)/documents/users/$(userId)/userinfo/granted_users).data.reads

Оставив мне возможность создать логическое значение и правило с:

/databases/$(database)/documents/users/$(request.auth.uid) in get(/databases/$(database)/documents/users/$(userId)/userinfo/granted_users).data.reads

очевидно, ваша структура данных будет различаться, но здесь важно знать, что ссылка — это путь.

Мне пришлось немного поэкспериментировать, чтобы заставить это работать. Вот функция, которая сработала для меня

function isUserRef(database, userId) {
  return 'user' in resource.data
    && resource.data.user == /databases/$(database)/documents/users/$(userId);
}

И я называю это так:

match /answers/{answer} {
   allow read:
        if isUserRef(database, request.auth.uid);
}

Как упоминалось в некоторых других ответах, ссылка имеет свойство path, которое представляет собой просто строку, которая будет выглядеть примерно так users/randomuserid123. Вы можете разделить это на массив и сопоставить его с пользователем, делающим запрос на обновление.

...

match /tenancies/{tenancyID}{

 allow update: if request.auth.uid != null && 
   resource.data.landlordID.path.split('/') == ['users', request.auth.uid]
 }

...

Также возникли проблемы с обработкой этой проблемы, но в моем случае мне нужно было разрешить пользователю добавлять сообщение в чат, только если он является владельцем этого чата. Есть 2 "таблицы" - chats и chat_messages, причем chat_messages относятся к конкретному чату через поле chatId. chats объекты имеют ownerId поле. Правило, которое я использовал, звучит так:

    // Allow adding messages into a chat if the user is an owner of the chat room
    match /chat_messages/{itemId} {
      function isOwner() {
          return get(/databases/$(database)/documents/chats/$(request.resource.data.chatId)).data.ownerId == request.auth.uid;
      }
      
      allow read: if true;
      allow create: if isOwner();
    }