Molte app collaborative consentono agli utenti di leggere e scrivere diversi tipi di dati in base a un insieme di autorizzazioni. In un'app di modifica dei documenti, ad esempio, gli utenti potrebbero voler consentire a pochi utenti di leggere e scrivere i propri documenti bloccando l'accesso indesiderato.
Soluzione: controllo dell'accesso basato sui ruoli
Puoi sfruttare il modello di dati di Cloud Firestore e le regole di sicurezza personalizzate per implementare il controllo dell'accesso basato sui ruoli nella tua app.
Supponiamo che tu stia creando un'applicazione di scrittura collaborativa in cui gli utenti possono creare "storie" e "commenti" con i seguenti requisiti di sicurezza:
- Ogni storia ha un proprietario e può essere condivisa con "autori", "commentatori" e "lettori".
- I lettori possono visualizzare solo storie e commenti. Non può modificare nulla.
- I commentatori hanno lo stesso accesso dei lettori e possono anche aggiungere commenti a una storia.
- Gli autori hanno tutti gli accessi dei commentatori e possono anche modificare i contenuti della storia.
- I proprietari possono modificare qualsiasi parte di una storia e controllare l'accesso di altri utenti.
Struttura dei dati
Supponiamo che la tua app abbia una raccolta stories in cui ogni documento rappresenta
una storia. Ogni storia ha anche una sottoraccolta comments in cui ogni documento
è un commento alla storia.
Per tenere traccia dei ruoli di accesso, aggiungi un campo roles che è una mappa degli ID utente ai ruoli:
/stories/{storyid}
{
title: "A Great Story",
content: "Once upon a time ...",
roles: {
alice: "owner",
bob: "reader",
david: "writer",
jane: "commenter"
// ...
}
}
I commenti contengono solo due campi: l'ID utente dell'autore e alcuni contenuti:
/stories/{storyid}/comments/{commentid}
{
user: "alice",
content: "I think this is a great story!"
}
Regole
Ora che i ruoli degli utenti sono registrati nel database, devi scrivere le regole di sicurezza per convalidarli. Queste regole presuppongono che l'app utilizzi
Firebase Auth, in modo che la variabile request.auth.uid
sia l'ID utente.
Passaggio 1: inizia con un file di regole di base, che include regole vuote per le storie e i commenti:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
// TODO: Story rules go here...
match /comments/{comment} {
// TODO: Comment rules go here...
}
}
}
}
Passaggio 2: aggiungi una semplice regola write che consenta ai proprietari di avere il controllo completo delle storie. Le funzioni definite aiutano a determinare i ruoli di un utente e se i nuovi
documenti sono validi:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
function isSignedIn() {
return request.auth != null;
}
function getRole(rsc) {
// Read from the "roles" map in the resource (rsc).
return rsc.data.roles[request.auth.uid];
}
function isOneOfRoles(rsc, array) {
// Determine if the user is one of an array of roles
return isSignedIn() && (getRole(rsc) in array);
}
function isValidNewStory() {
// Valid if story does not exist and the new story has the correct owner.
return resource == null && isOneOfRoles(request.resource, ['owner']);
}
// Owners can read, write, and delete stories
allow write: if isValidNewStory() || isOneOfRoles(resource, ['owner']);
match /comments/{comment} {
// ...
}
}
}
}
Passaggio 3: scrivi regole che consentano a un utente con qualsiasi ruolo di leggere storie e commenti. L'utilizzo delle funzioni definite nel passaggio precedente mantiene le regole concise e leggibili:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
function isSignedIn() {
return request.auth != null;
}
function getRole(rsc) {
return rsc.data.roles[request.auth.uid];
}
function isOneOfRoles(rsc, array) {
return isSignedIn() && (getRole(rsc) in array);
}
function isValidNewStory() {
return resource == null
&& request.resource.data.roles[request.auth.uid] == 'owner';
}
allow write: if isValidNewStory() || isOneOfRoles(resource, ['owner']);
// Any role can read stories.
allow read: if isOneOfRoles(resource, ['owner', 'writer', 'commenter', 'reader']);
match /comments/{comment} {
// Any role can read comments.
allow read: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter', 'reader']);
}
}
}
}
Passaggio 4: consenti agli autori, ai commentatori e ai proprietari delle storie di pubblicare commenti.
Tieni presente che questa regola verifica anche che l'owner del commento corrisponda all'utente che ha effettuato la richiesta, il che impedisce agli utenti di sovrascrivere i commenti degli altri:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
function isSignedIn() {
return request.auth != null;
}
function getRole(rsc) {
return rsc.data.roles[request.auth.uid];
}
function isOneOfRoles(rsc, array) {
return isSignedIn() && (getRole(rsc) in array);
}
function isValidNewStory() {
return resource == null
&& request.resource.data.roles[request.auth.uid] == 'owner';
}
allow write: if isValidNewStory() || isOneOfRoles(resource, ['owner'])
allow read: if isOneOfRoles(resource, ['owner', 'writer', 'commenter', 'reader']);
match /comments/{comment} {
allow read: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter', 'reader']);
// Owners, writers, and commenters can create comments. The
// user id in the comment document must match the requesting
// user's id.
//
// Note: we have to use get() here to retrieve the story
// document so that we can check the user's role.
allow create: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter'])
&& request.resource.data.user == request.auth.uid;
}
}
}
}
Passaggio 5: concedi agli autori la possibilità di modificare i contenuti della storia, ma non i ruoli della storia o altre proprietà del documento. Ciò richiede la suddivisione
della regola write in regole separate per create, update e
delete, poiché gli autori possono aggiornare solo le storie:
service cloud.firestore {
match /databases/{database}/documents {
match /stories/{story} {
function isSignedIn() {
return request.auth != null;
}
function getRole(rsc) {
return rsc.data.roles[request.auth.uid];
}
function isOneOfRoles(rsc, array) {
return isSignedIn() && (getRole(rsc) in array);
}
function isValidNewStory() {
return request.resource.data.roles[request.auth.uid] == 'owner';
}
function onlyContentChanged() {
// Ensure that title and roles are unchanged and that no new
// fields are added to the document.
return request.resource.data.title == resource.data.title
&& request.resource.data.roles == resource.data.roles
&& request.resource.data.keys() == resource.data.keys();
}
// Split writing into creation, deletion, and updating. Only an
// owner can create or delete a story but a writer can update
// story content.
allow create: if isValidNewStory();
allow delete: if isOneOfRoles(resource, ['owner']);
allow update: if isOneOfRoles(resource, ['owner'])
|| (isOneOfRoles(resource, ['writer']) && onlyContentChanged());
allow read: if isOneOfRoles(resource, ['owner', 'writer', 'commenter', 'reader']);
match /comments/{comment} {
allow read: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter', 'reader']);
allow create: if isOneOfRoles(get(/databases/$(database)/documents/stories/$(story)),
['owner', 'writer', 'commenter'])
&& request.resource.data.user == request.auth.uid;
}
}
}
}
Limitazioni
La soluzione mostrata sopra illustra la protezione dei dati utente utilizzando le regole di sicurezza, ma devi essere consapevole dei seguenti limiti:
- Granularità: nell'esempio precedente, più ruoli (autore e proprietario) hanno accesso in scrittura allo stesso documento, ma con limitazioni diverse. Questa operazione può diventare difficile da gestire con documenti più complessi ed è preferibile suddividere i singoli documenti in più documenti, ciascuno di proprietà di un singolo ruolo.
- Gruppi di grandi dimensioni: se devi condividere con gruppi molto grandi o complessi, valuta la possibilità di utilizzare un sistema in cui i ruoli vengono archiviati in una raccolta propria anziché come campo nel documento di destinazione.