রিয়েলটাইম ডাটাবেস নিরাপত্তা নিয়মে শর্ত ব্যবহার করুন

এই নির্দেশিকাটি 'ফায়ারবেস সিকিউরিটি রুলস-এর মূল ভাষা শিখুন' নির্দেশিকার উপর ভিত্তি করে তৈরি, যা আপনার ফায়ারবেস রিয়েলটাইম ডেটাবেস সিকিউরিটি রুলস-এ কীভাবে শর্তাবলী যোগ করতে হয় তা দেখায়।

রিয়েলটাইম ডেটাবেস সিকিউরিটি রুলস-এর প্রধান ভিত্তি হলো কন্ডিশন । কন্ডিশন হলো একটি বুলিয়ান এক্সপ্রেশন যা নির্ধারণ করে কোনো নির্দিষ্ট অপারেশন অনুমোদিত হবে নাকি প্রত্যাখ্যাত হবে। সাধারণ নিয়মের জন্য, কন্ডিশন হিসেবে true এবং false লিটারেল ব্যবহার করা পুরোপুরি কার্যকর। কিন্তু রিয়েলটাইম ডেটাবেস সিকিউরিটি রুলস ল্যাঙ্গুয়েজ আপনাকে আরও জটিল কন্ডিশন লেখার উপায় দেয় যা:

  • ব্যবহারকারীর প্রমাণীকরণ যাচাই করুন
  • নতুন জমা দেওয়া তথ্যের সাথে বিদ্যমান তথ্য মূল্যায়ন করুন।
  • আপনার ডাটাবেসের বিভিন্ন অংশ অ্যাক্সেস করুন এবং তুলনা করুন।
  • আগত ডেটা যাচাই করুন
  • নিরাপত্তা যুক্তির জন্য আগত কোয়েরির কাঠামো ব্যবহার করুন

পাথ সেগমেন্ট ক্যাপচার করতে $ ভেরিয়েবল ব্যবহার করা

আপনি $ প্রিফিক্স সহ ক্যাপচার ভেরিয়েবল ডিক্লেয়ার করে রিড বা রাইটের জন্য পাথের অংশবিশেষ ক্যাপচার করতে পারেন। এটি একটি ওয়াইল্ড কার্ড হিসেবে কাজ করে এবং রুলের শর্তাবলীর ভেতরে ব্যবহারের জন্য ওই কী-টির মান সংরক্ষণ করে রাখে:

{
  "rules": {
    "rooms": {
      // this rule applies to any child of /rooms/, the key for each room id
      // is stored inside $room_id variable for reference
      "$room_id": {
        "topic": {
          // the room's topic can be changed if the room id has "public" in it
          ".write": "$room_id.contains('public')"
        }
      }
    }
  }
}

ডাইনামিক $ ভেরিয়েবলগুলো কনস্ট্যান্ট পাথ নেমের সাথেও সমান্তরালভাবে ব্যবহার করা যায়। এই উদাহরণে, আমরা $other ভেরিয়েবলটি ব্যবহার করে একটি .validate রুল ডিক্লেয়ার করছি, যা নিশ্চিত করে যে widget title এবং color ছাড়া অন্য কোনো চাইল্ড নেই। এমন যেকোনো রাইট অপারেশন যা অতিরিক্ত চাইল্ড তৈরি করবে, তা ফেইল করবে।

{
  "rules": {
    "widget": {
      // a widget can have a title or color attribute
      "title": { ".validate": true },
      "color": { ".validate": true },

      // but no other child paths are allowed
      // in this case, $other means any key excluding "title" and "color"
      "$other": { ".validate": false }
    }
  }
}

প্রমাণীকরণ

সবচেয়ে প্রচলিত নিরাপত্তা নিয়মগুলোর একটি হলো ব্যবহারকারীর প্রমাণীকরণ অবস্থার উপর ভিত্তি করে অ্যাক্সেস নিয়ন্ত্রণ করা। উদাহরণস্বরূপ, আপনার অ্যাপ হয়তো শুধু সাইন-ইন করা ব্যবহারকারীদেরই ডেটা লেখার অনুমতি দিতে চাইতে পারে।

আপনার অ্যাপ যদি ফায়ারবেস অথেনটিকেশন ব্যবহার করে, তাহলে request.auth ভেরিয়েবলটিতে ডেটার জন্য অনুরোধকারী ক্লায়েন্টের অথেনটিকেশন তথ্য থাকে। request.auth সম্পর্কে আরও তথ্যের জন্য, রেফারেন্স ডকুমেন্টেশন দেখুন।

Firebase Authentication Firebase Realtime Database সাথে সমন্বিত হয়ে আপনাকে শর্তাবলী ব্যবহার করে ব্যবহারকারী-ভিত্তিক ডেটা অ্যাক্সেস নিয়ন্ত্রণ করার সুযোগ দেয়। একজন ব্যবহারকারী অথেন্টিকেট করলে, আপনার রিয়েলটাইম ডেটাবেস সিকিউরিটি রুলস-এর মধ্যে থাকা auth ভেরিয়েবলটি ব্যবহারকারীর তথ্য দিয়ে পূরণ হয়ে যাবে। এই তথ্যের মধ্যে তাদের ইউনিক আইডেন্টিফায়ার ( uid ), লিঙ্ক করা অ্যাকাউন্টের ডেটা, যেমন ফেসবুক আইডি বা ইমেল অ্যাড্রেস, এবং অন্যান্য তথ্য অন্তর্ভুক্ত থাকে। আপনি যদি একটি কাস্টম অথ প্রোভাইডার প্রয়োগ করেন, তবে আপনি আপনার ব্যবহারকারীর অথ পেলোডে নিজস্ব ফিল্ড যোগ করতে পারবেন।

এই বিভাগে ব্যাখ্যা করা হয়েছে কিভাবে ফায়ারবেস রিয়েলটাইম ডেটাবেস সিকিউরিটি রুলস-এর ভাষাকে আপনার ব্যবহারকারীদের প্রমাণীকরণ তথ্যের সাথে একত্রিত করা যায়। এই দুটি ধারণাকে একত্রিত করে, আপনি ব্যবহারকারীর পরিচয়ের উপর ভিত্তি করে ডেটাতে অ্যাক্সেস নিয়ন্ত্রণ করতে পারেন।

auth ভেরিয়েবল

প্রমাণীকরণ শুরু হওয়ার আগে, নিয়মাবলীতে থাকা পূর্বনির্ধারিত auth ভেরিয়েবলটি null থাকে।

একবার কোনো ব্যবহারকারী Firebase Authentication-এর মাধ্যমে প্রমাণীকৃত হলে, তাতে নিম্নলিখিত অ্যাট্রিবিউটগুলো থাকবে:

সরবরাহকারী ব্যবহৃত প্রমাণীকরণ পদ্ধতি ("পাসওয়ার্ড", "অ্যানোনিমাস", "ফেসবুক", "গিটহাব", "গুগল", বা "টুইটার")।
ইউআইডি একটি অনন্য ইউজার আইডি, যা সকল প্রোভাইডারের কাছে স্বতন্ত্র থাকার নিশ্চয়তা দেয়।
টোকেন ফায়ারবেস অথ আইডি টোকেনের বিষয়বস্তু। আরও বিস্তারিত জানতে auth.token এর রেফারেন্স ডকুমেন্টেশন দেখুন।

এখানে একটি নিয়মের উদাহরণ দেওয়া হল যা auth ভেরিয়েবল ব্যবহার করে নিশ্চিত করে যে প্রতিটি ব্যবহারকারী শুধুমাত্র একটি ব্যবহারকারী-নির্দিষ্ট পাথে লিখতে পারবে:

{
  "rules": {
    "users": {
      "$user_id": {
        // grants write access to the owner of this user account
        // whose uid must exactly match the key ($user_id)
        ".write": "$user_id === auth.uid"
      }
    }
  }
}

প্রমাণীকরণ শর্তাবলী সমর্থন করার জন্য আপনার ডেটাবেসের গঠন

সাধারণত আপনার ডাটাবেসকে এমনভাবে সাজানো সহায়ক হয়, যাতে Security Rules লেখা সহজ হয়। Realtime Database ব্যবহারকারীর ডেটা সংরক্ষণের একটি সাধারণ পদ্ধতি হলো, সমস্ত ব্যবহারকারীকে একটিমাত্র users নোডে রাখা, যার চাইল্ড হিসেবে প্রতিটি ব্যবহারকারীর uid ভ্যালুগুলো থাকে। আপনি যদি এই ডেটার অ্যাক্সেস এমনভাবে সীমাবদ্ধ করতে চান যাতে শুধুমাত্র লগ-ইন করা ব্যবহারকারীই তার নিজের ডেটা দেখতে পারে, তাহলে আপনার রুলসগুলো দেখতে অনেকটা এইরকম হবে।

{
  "rules": {
    "users": {
      "$uid": {
        ".read": "auth !== null && auth.uid === $uid"
      }
    }
  }
}

প্রমাণীকরণ কাস্টম দাবি নিয়ে কাজ করা

যেসব অ্যাপে বিভিন্ন ব্যবহারকারীর জন্য কাস্টম অ্যাক্সেস কন্ট্রোল প্রয়োজন, Firebase Authentication ডেভেলপারদেরকে একজন Firebase ব্যবহারকারীর উপর ক্লেইম সেট করার সুযোগ দেয়। এই ক্লেইমগুলো আপনার রুলসের auth.token ভেরিয়েবলে অ্যাক্সেস করা যায়। নিচে hasEmergencyTowel কাস্টম ক্লেইমটি ব্যবহার করে এমন একটি রুলসের উদাহরণ দেওয়া হলো:

{
  "rules": {
    "frood": {
      // A towel is about the most massively useful thing an interstellar
      // hitchhiker can have
      ".read": "auth.token.hasEmergencyTowel === true"
    }
  }
}

যেসব ডেভেলপার তাদের নিজস্ব কাস্টম অথেনটিকেশন টোকেন তৈরি করেন, তারা ঐচ্ছিকভাবে এই টোকেনগুলিতে ক্লেইম যোগ করতে পারেন। এই ক্লেইমগুলি আপনার রুলসের auth.token ভেরিয়েবলে পাওয়া যায়।

বিদ্যমান ডেটা বনাম নতুন ডেটা

রাইট অপারেশন শুরু হওয়ার আগে ডেটাকে নির্দেশ করার জন্য প্রিডিফাইন্ড data ভেরিয়েবলটি ব্যবহৃত হয়। অপরপক্ষে, newData ভেরিয়েবলটিতে সেই নতুন ডেটা থাকে যা রাইট অপারেশন সফল হলে তৈরি হবে। newData হলো লেখা হওয়া নতুন ডেটা এবং বিদ্যমান ডেটার একীভূত ফলাফল।

উদাহরণস্বরূপ, এই নিয়মটি আমাদের নতুন রেকর্ড তৈরি করতে বা বিদ্যমান রেকর্ড মুছে ফেলতে অনুমতি দেবে, কিন্তু বিদ্যমান নন-নাল ডেটাতে কোনো পরিবর্তন করতে দেবে না:

// we can write as long as old data or new data does not exist
// in other words, if this is a delete or a create, but not an update
".write": "!data.exists() || !newData.exists()"

অন্যান্য পাথে ডেটা রেফারেন্স করা

যেকোনো ডেটা নিয়মের মানদণ্ড হিসেবে ব্যবহার করা যেতে পারে। root , data , এবং newData নামক পূর্বনির্ধারিত ভেরিয়েবলগুলো ব্যবহার করে, আমরা যেকোনো পাথকে একটি রাইট ইভেন্টের আগে বা পরের অবস্থায় অ্যাক্সেস করতে পারি।

এই উদাহরণটি বিবেচনা করুন, যা লেখার অনুমতি দেয় যতক্ষণ পর্যন্ত /allow_writes/ নোডের মান true থাকে, প্যারেন্ট নোডে readOnly ফ্ল্যাগ সেট করা না থাকে, এবং নতুন লেখা ডেটাতে foo নামের একটি চাইল্ড থাকে:

".write": "root.child('allow_writes').val() === true &&
          !data.parent().child('readOnly').exists() &&
          newData.child('foo').exists()"

ডেটা যাচাইকরণ

ডেটা স্ট্রাকচার প্রয়োগ করা এবং ডেটার ফরম্যাট ও বিষয়বস্তু যাচাই করার কাজটি .validate রুল ব্যবহার করে করা উচিত, যা শুধুমাত্র একটি .write রুল সফলভাবে অ্যাক্সেস দেওয়ার পরেই রান হয়। নিচে একটি নমুনা .validate রুলের সংজ্ঞা দেওয়া হলো, যা শুধুমাত্র ১৯০০-২০৯৯ সালের মধ্যে YYYY-MM-DD ফরম্যাটের তারিখগুলোকে অনুমতি দেয় এবং এটি একটি রেগুলার এক্সপ্রেশন ব্যবহার করে যাচাই করা হয়।

".validate": "newData.isString() &&
              newData.val().matches(/^(19|20)[0-9][0-9][-\\/. ](0[1-9]|1[012])[-\\/. ](0[1-9]|[12][0-9]|3[01])$/)"

.validate রুলগুলোই একমাত্র নিরাপত্তা রুল যা ক্যাসকেড করে না। যদি কোনো চাইল্ড রেকর্ডে কোনো ভ্যালিডেশন রুল ব্যর্থ হয়, তবে সম্পূর্ণ রাইট অপারেশনটি বাতিল হয়ে যাবে। এছাড়াও, ডেটা ডিলিট করার সময় (অর্থাৎ, যখন নতুন লেখা ভ্যালুটি null হয়) validate ডেফিনিশনগুলো উপেক্ষা করা হয়।

এই বিষয়গুলো তুচ্ছ মনে হতে পারে, কিন্তু শক্তিশালী ফায়ারবেস রিয়েলটাইম ডেটাবেস সিকিউরিটি রুলস লেখার জন্য এগুলো আদতে গুরুত্বপূর্ণ বৈশিষ্ট্য। নিম্নলিখিত নিয়মগুলো বিবেচনা করুন:

{
  "rules": {
    // write is allowed for all paths
    ".write": true,
    "widget": {
      // a valid widget must have attributes "color" and "size"
      // allows deleting widgets (since .validate is not applied to delete rules)
      ".validate": "newData.hasChildren(['color', 'size'])",
      "size": {
        // the value of "size" must be a number between 0 and 99
        ".validate": "newData.isNumber() &&
                      newData.val() >= 0 &&
                      newData.val() <= 99"
      },
      "color": {
        // the value of "color" must exist as a key in our mythical
        // /valid_colors/ index
        ".validate": "root.child('valid_colors/' + newData.val()).exists()"
      }
    }
  }
}

এই ভ্যারিয়েন্টটি মাথায় রেখে, নিম্নলিখিত রাইট অপারেশনগুলোর ফলাফলগুলো দেখুন:

জাভাস্ক্রিপ্ট 
var ref = db.ref("/widget");

// PERMISSION_DENIED: does not have children color and size
ref.set('foo');

// PERMISSION DENIED: does not have child color
ref.set({size: 22});

// PERMISSION_DENIED: size is not a number
ref.set({ size: 'foo', color: 'red' });

// SUCCESS (assuming 'blue' appears in our colors list)
ref.set({ size: 21, color: 'blue'});

// If the record already exists and has a color, this will
// succeed, otherwise it will fail since newData.hasChildren(['color', 'size'])
// will fail to validate
ref.child('size').set(99);
উদ্দেশ্য-সি
দ্রষ্টব্য: এই Firebase পণ্যটি App Clip টার্গেটে উপলব্ধ নয়। 
FIRDatabaseReference *ref = [[[FIRDatabase database] reference] child: @"widget"];

// PERMISSION_DENIED: does not have children color and size
[ref setValue: @"foo"];

// PERMISSION DENIED: does not have child color
[ref setValue: @{ @"size": @"foo" }];

// PERMISSION_DENIED: size is not a number
[ref setValue: @{ @"size": @"foo", @"color": @"red" }];

// SUCCESS (assuming 'blue' appears in our colors list)
[ref setValue: @{ @"size": @21, @"color": @"blue" }];

// If the record already exists and has a color, this will
// succeed, otherwise it will fail since newData.hasChildren(['color', 'size'])
// will fail to validate
[[ref child:@"size"] setValue: @99];
সুইফট
দ্রষ্টব্য: এই Firebase পণ্যটি App Clip টার্গেটে উপলব্ধ নয়। 
var ref = FIRDatabase.database().reference().child("widget")

// PERMISSION_DENIED: does not have children color and size
ref.setValue("foo")

// PERMISSION DENIED: does not have child color
ref.setValue(["size": "foo"])

// PERMISSION_DENIED: size is not a number
ref.setValue(["size": "foo", "color": "red"])

// SUCCESS (assuming 'blue' appears in our colors list)
ref.setValue(["size": 21, "color": "blue"])

// If the record already exists and has a color, this will
// succeed, otherwise it will fail since newData.hasChildren(['color', 'size'])
// will fail to validate
ref.child("size").setValue(99);
জাভা 
FirebaseDatabase database = FirebaseDatabase.getInstance();
DatabaseReference ref = database.getReference("widget");

// PERMISSION_DENIED: does not have children color and size
ref.setValue("foo");

// PERMISSION DENIED: does not have child color
ref.child("size").setValue(22);

// PERMISSION_DENIED: size is not a number
Map<String,Object> map = new HashMap<String, Object>();
map.put("size","foo");
map.put("color","red");
ref.setValue(map);

// SUCCESS (assuming 'blue' appears in our colors list)
map = new HashMap<String, Object>();
map.put("size", 21);
map.put("color","blue");
ref.setValue(map);

// If the record already exists and has a color, this will
// succeed, otherwise it will fail since newData.hasChildren(['color', 'size'])
// will fail to validate
ref.child("size").setValue(99);
বিশ্রাম 
# PERMISSION_DENIED: does not have children color and size
curl -X PUT -d 'foo' \
https://docs-examples.firebaseio.com/rest/securing-data/example.json

# PERMISSION DENIED: does not have child color
curl -X PUT -d '{"size": 22}' \
https://docs-examples.firebaseio.com/rest/securing-data/example.json

# PERMISSION_DENIED: size is not a number
curl -X PUT -d '{"size": "foo", "color": "red"}' \
https://docs-examples.firebaseio.com/rest/securing-data/example.json

# SUCCESS (assuming 'blue' appears in our colors list)
curl -X PUT -d '{"size": 21, "color": "blue"}' \
https://docs-examples.firebaseio.com/rest/securing-data/example.json

# If the record already exists and has a color, this will
# succeed, otherwise it will fail since newData.hasChildren(['color', 'size'])
# will fail to validate
curl -X PUT -d '99' \
https://docs-examples.firebaseio.com/rest/securing-data/example/size.json

এবার একই কাঠামোটি দেখা যাক, কিন্তু .validate এর পরিবর্তে .write নিয়ম ব্যবহার করে: 

{
  "rules": {
    // this variant will NOT allow deleting records (since .write would be disallowed)
    "widget": {
      // a widget must have 'color' and 'size' in order to be written to this path
      ".write": "newData.hasChildren(['color', 'size'])",
      "size": {
        // the value of "size" must be a number between 0 and 99, ONLY IF WE WRITE DIRECTLY TO SIZE
        ".write": "newData.isNumber() && newData.val() >= 0 && newData.val() <= 99"
      },
      "color": {
        // the value of "color" must exist as a key in our mythical valid_colors/ index
        // BUT ONLY IF WE WRITE DIRECTLY TO COLOR
        ".write": "root.child('valid_colors/'+newData.val()).exists()"
      }
    }
  }
}

এই ভ্যারিয়েন্টে, নিম্নলিখিত অপারেশনগুলোর যেকোনোটি সফল হবে:

জাভাস্ক্রিপ্ট 
var ref = new Firebase(URL + "/widget");

// ALLOWED? Even though size is invalid, widget has children color and size,
// so write is allowed and the .write rule under color is ignored
ref.set({size: 99999, color: 'red'});

// ALLOWED? Works even if widget does not exist, allowing us to create a widget
// which is invalid and does not have a valid color.
// (allowed by the write rule under "color")
ref.child('size').set(99);
উদ্দেশ্য-সি
দ্রষ্টব্য: এই Firebase পণ্যটি App Clip টার্গেটে উপলব্ধ নয়। 
Firebase *ref = [[Firebase alloc] initWithUrl:URL];

// ALLOWED? Even though size is invalid, widget has children color and size,
// so write is allowed and the .write rule under color is ignored
[ref setValue: @{ @"size": @9999, @"color": @"red" }];

// ALLOWED? Works even if widget does not exist, allowing us to create a widget
// which is invalid and does not have a valid color.
// (allowed by the write rule under "color")
[[ref childByAppendingPath:@"size"] setValue: @99];
সুইফট
দ্রষ্টব্য: এই Firebase পণ্যটি App Clip টার্গেটে উপলব্ধ নয়। 
var ref = Firebase(url:URL)

// ALLOWED? Even though size is invalid, widget has children color and size,
// so write is allowed and the .write rule under color is ignored
ref.setValue(["size": 9999, "color": "red"])

// ALLOWED? Works even if widget does not exist, allowing us to create a widget
// which is invalid and does not have a valid color.
// (allowed by the write rule under "color")
ref.childByAppendingPath("size").setValue(99)
জাভা 
Firebase ref = new Firebase(URL + "/widget");

// ALLOWED? Even though size is invalid, widget has children color and size,
// so write is allowed and the .write rule under color is ignored
Map<String,Object> map = new HashMap<String, Object>();
map.put("size", 99999);
map.put("color", "red");
ref.setValue(map);

// ALLOWED? Works even if widget does not exist, allowing us to create a widget
// which is invalid and does not have a valid color.
// (allowed by the write rule under "color")
ref.child("size").setValue(99);
বিশ্রাম 
# ALLOWED? Even though size is invalid, widget has children color and size,
# so write is allowed and the .write rule under color is ignored
curl -X PUT -d '{size: 99999, color: "red"}' \
https://docs-examples.firebaseio.com/rest/securing-data/example.json

# ALLOWED? Works even if widget does not exist, allowing us to create a widget
# which is invalid and does not have a valid color.
# (allowed by the write rule under "color")
curl -X PUT -d '99' \
https://docs-examples.firebaseio.com/rest/securing-data/example/size.json

এটি .write এবং .validate রুলগুলোর মধ্যে পার্থক্য তুলে ধরে। যেমনটি দেখানো হয়েছে, newData.hasChildren() রুলটি ছাড়া এই সমস্ত রুল .validate ব্যবহার করে লেখা উচিত, কারণ ডিলিট করার অনুমতি দেওয়া হবে কি না, তার উপর এই নিয়মটির ব্যতিক্রম হতে পারে।

কোয়েরি-ভিত্তিক নিয়ম

যদিও আপনি নিয়মগুলোকে ফিল্টার হিসেবে ব্যবহার করতে পারবেন না , তবে আপনার নিয়মে কোয়েরি প্যারামিটার ব্যবহার করে ডেটার উপসেটগুলিতে অ্যাক্সেস সীমিত করতে পারেন। কোয়েরি প্যারামিটারের উপর ভিত্তি করে রিড বা রাইট অ্যাক্সেস দেওয়ার জন্য আপনার নিয়মে query. এক্সপ্রেশন ব্যবহার করুন।

উদাহরণস্বরূপ, নিম্নলিখিত কোয়েরি-ভিত্তিক নিয়মটি ব্যবহারকারী-ভিত্তিক নিরাপত্তা নিয়ম এবং কোয়েরি-ভিত্তিক নিয়ম ব্যবহার করে baskets কালেকশনের ডেটাতে অ্যাক্সেসকে শুধুমাত্র সক্রিয় ব্যবহারকারীর মালিকানাধীন শপিং বাস্কেটগুলিতে সীমাবদ্ধ করে: 

"baskets": {
  ".read": "auth.uid !== null &&
            query.orderByChild === 'owner' &&
            query.equalTo === auth.uid" // restrict basket access to owner of basket
}

নিম্নলিখিত কোয়েরিটি, যেখানে নিয়মের মধ্যে কোয়েরি প্যারামিটারগুলো অন্তর্ভুক্ত রয়েছে, সফল হবে: 

db.ref("baskets").orderByChild("owner")
                 .equalTo(auth.currentUser.uid)
                 .on("value", cb)                 // Would succeed

তবে, যে কোয়েরিগুলিতে নিয়মের মধ্যে প্যারামিটার অন্তর্ভুক্ত থাকে না, সেগুলি PermissionDenied ত্রুটির সাথে ব্যর্থ হবে: 

db.ref("baskets").on("value", cb)                 // Would fail with PermissionDenied

রিড অপারেশনের মাধ্যমে কোনো ক্লায়েন্ট কী পরিমাণ ডেটা ডাউনলোড করবে, তা সীমিত করতে আপনি কোয়েরি-ভিত্তিক নিয়মও ব্যবহার করতে পারেন।

উদাহরণস্বরূপ, নিম্নলিখিত নিয়মটি অগ্রাধিকার অনুসারে সাজানো একটি কোয়েরির শুধুমাত্র প্রথম ১০০০টি ফলাফলে পড়ার অ্যাক্সেস সীমাবদ্ধ করে: 

messages: {
  ".read": "query.orderByKey &&
            query.limitToFirst <= 1000"
}

// Example queries:

db.ref("messages").on("value", cb)                // Would fail with PermissionDenied

db.ref("messages").limitToFirst(1000)
                  .on("value", cb)                // Would succeed (default order by key)

রিয়েলটাইম ডেটাবেস নিরাপত্তা নিয়মে নিম্নলিখিত query. এক্সপ্রেশনগুলো উপলব্ধ আছে।

কোয়েরি-ভিত্তিক নিয়ম এক্সপ্রেশন
অভিব্যক্তি প্রকার বর্ণনা
query.orderByKey
কোয়েরি.অর্ডারবাইপ্রায়োরিটি
query.orderByValue		 বুলিয়ান কী, প্রায়োরিটি বা ভ্যালু অনুসারে সাজানো কোয়েরির ক্ষেত্রে সত্য। অন্যথায় মিথ্যা।
query.orderByChild স্ট্রিং
নাল		 চাইল্ড নোডের আপেক্ষিক পথ বোঝাতে একটি স্ট্রিং ব্যবহার করুন। উদাহরণস্বরূপ, query.orderByChild === "address/zip" । যদি কোয়েরিটি কোনো চাইল্ড নোড দ্বারা সাজানো না থাকে, তাহলে এই মানটি null হবে।
query.startAt
কোয়েরি.এন্ডঅ্যাট
query.equalTo		 স্ট্রিং
সংখ্যা
বুলিয়ান
নাল		 চলমান কোয়েরির সীমা পুনরুদ্ধার করে, অথবা কোনো সীমা নির্ধারণ করা না থাকলে null রিটার্ন করে।
query.limitToFirst
query.limitToLast		 সংখ্যা
নাল		 চলমান কোয়েরির সীমা পুনরুদ্ধার করে, অথবা কোনো সীমা নির্ধারণ করা না থাকলে null রিটার্ন করে।

পরবর্তী পদক্ষেপ

শর্তাবলী নিয়ে এই আলোচনার পর, আপনি Security Rules সম্পর্কে আরও উন্নত ধারণা লাভ করেছেন এবং নিম্নলিখিত কাজগুলো করার জন্য প্রস্তুত:

কোর ইউজ কেসগুলো কীভাবে পরিচালনা করতে হয় তা শিখুন, এবং Security Rules তৈরি, পরীক্ষা ও স্থাপন করার ওয়ার্কফ্লো জানুন।

Realtime Database জন্য নির্দিষ্ট Security Rules বৈশিষ্ট্যগুলি জানুন: