Firebase Security Rules, ऐक्सेस कंट्रोल और डेटा की पुष्टि करने के लिए ऐसे फ़ॉर्मैट में उपलब्ध कराता है जो काम करता हो कई लेवल की मुश्किल हो सकती है. उपयोगकर्ताओं के डेटा को सुरक्षित रखने के लिए, उपयोगकर्ता और भूमिका के आधार पर ऐक्सेस सिस्टम बनाएं. इसके लिए, Firebase Security Rules के साथ Firebase Authentication का इस्तेमाल करें.
उपयोगकर्ताओं को पहचानें
Authentication, आपके डेटा का ऐक्सेस पाने का अनुरोध करने वाले उपयोगकर्ताओं की पहचान करता है. साथ ही, उस जानकारी को वैरिएबल के तौर पर उपलब्ध कराता है, जिसका इस्तेमाल नियमों में किया जा सकता है. auth
वैरिएबल में यह जानकारी शामिल होती है:
uid
: अनुरोध करने वाले उपयोगकर्ता को असाइन किया गया यूनीक यूज़र आईडी.token
: Authentication से इकट्ठा की गई वैल्यू का मैप.
auth.token
वैरिएबल में ये वैल्यू शामिल हैं:
फ़ील्ड | ब्यौरा |
---|---|
email |
खाते से जुड़ा ईमेल पता, अगर मौजूद हो. |
email_verified |
true अगर उपयोगकर्ता ने पुष्टि कर दी है कि उसके पास email पते का ऐक्सेस है. ईमेल की सेवा देने वाली कुछ कंपनियां, अपने ईमेल पतों की पुष्टि अपने-आप करती हैं. |
phone_number |
खाते से जुड़ा फ़ोन नंबर, अगर मौजूद हो. |
name |
अगर सेट किया गया है, तो उपयोगकर्ता का डिसप्ले नेम. |
sub |
उपयोगकर्ता का Firebase यूआईडी. यह किसी प्रोजेक्ट में यूनीक होता है. |
firebase.identities |
इस उपयोगकर्ता के खाते से जुड़ी सभी पहचानों की डिक्शनरी. डिक्शनरी की कुंजियां इनमें से कोई भी हो सकती हैं: email , phone , google.com , facebook.com , github.com , twitter.com . डिक्शनरी की वैल्यू, खाते से जुड़े हर आइडेंटिटी प्रोवाइडर के लिए यूनीक आइडेंटिफ़ायर के कलेक्शन होती हैं. उदाहरण के लिए, auth.token.firebase.identities["google.com"][0] में खाते से जुड़ा पहला Google यूज़र आईडी शामिल होता है. |
firebase.sign_in_provider |
इस टोकन को पाने के लिए, साइन इन करने की सेवा देने वाली कंपनी का इस्तेमाल किया गया. यह इनमें से कोई एक स्ट्रिंग हो सकती है: custom , password , phone , anonymous , google.com , facebook.com , github.com , twitter.com . |
firebase.tenant |
खाते से जुड़ा tenantId, अगर मौजूद हो. उदाहरण के लिए, tenant2-m6tyz |
अगर आपको पुष्टि करने वाले कस्टमाइज़ किए गए एट्रिब्यूट जोड़ने हैं, तो auth.token
वैरिएबल में सभी कस्टम दावे भी शामिल हैं
आपकी सहायता के लिए तैयार किया गया है.
अगर ऐक्सेस का अनुरोध करने वाले उपयोगकर्ता ने साइन इन नहीं किया है, तो auth
वैरिएबल null
होता है.
अपने नियमों में इसका फ़ायदा लिया जा सकता है, उदाहरण के लिए, अगर आपको रीड सीमित करना है
पुष्टि किए गए उपयोगकर्ताओं का ऐक्सेस — auth != null
. हालांकि, हमारा सुझाव है कि आम तौर पर, लिखने का ऐक्सेस सीमित रखें.
auth
वैरिएबल के बारे में ज़्यादा जानकारी के लिए, रेफ़रंस देखें
दस्तावेज़
Cloud Firestore,
Realtime Database, और
Cloud Storage.
नियमों में उपयोगकर्ता की जानकारी का इस्तेमाल करना
अपने नियमों में पुष्टि की गई जानकारी का इस्तेमाल करने से, आपके नियम ज़्यादा बेहतर और सुविधाजनक बनते हैं. उपयोगकर्ता के आधार पर, डेटा के ऐक्सेस को कंट्रोल किया जा सकता है पहचान.
अपने नियमों में, तय करें कि auth
वैरिएबल में मौजूद जानकारी किस तरह —
अनुरोध करने वाले की उपयोगकर्ता जानकारी — यह
का अनुरोध किया गया है.
उदाहरण के लिए, हो सकता है कि आपका ऐप्लिकेशन यह पक्का करना चाहे कि उपयोगकर्ता
इस्तेमाल किया जा सकता है. इस स्थिति में, आपको
अनुरोध किए गए डेटा के लिए, auth.uid
वैरिएबल और यूज़र आईडी:
Cloud Firestore
service cloud.firestore {
match /databases/{database}/documents {
// Make sure the uid of the requesting user matches name of the user
// document. The wildcard expression {userId} makes the userId variable
// available in rules.
match /users/{userId} {
allow read, write: if request.auth != null && request.auth.uid == userId;
}
}
}
Realtime Database
{
"rules": {
"users": {
"$userId": {
// grants write access to the owner of this user account
// whose uid must exactly match the key ($userId)
".write": "$userId === auth.uid"
}
}
}
}
Cloud Storage
service firebase.storage {
// Only a user can upload their file, but anyone can view it
match /users/{userId}/{fileName} {
allow read;
allow write: if request.auth != null && request.auth.uid == userId;
}
}
उपयोगकर्ता की पसंद के मुताबिक जानकारी तय करना
auth
वैरिएबल का इस्तेमाल करके, अपने ऐप्लिकेशन के उपयोगकर्ताओं को असाइन किए गए कस्टम फ़ील्ड तय किए जा सकते हैं.
उदाहरण के लिए, मान लें कि आपको एक "एडमिन" भूमिका बनानी है, जो कुछ पाथ पर लिखने का ऐक्सेस चालू करती है. आपको उपयोगकर्ताओं को वह एट्रिब्यूट असाइन करना होगा. इसके बाद, पाथ पर ऐक्सेस देने वाले नियमों में इसका इस्तेमाल करना होगा.
Cloud Firestore में, आपके पास उपयोगकर्ताओं की दस्तावेज़ और डेटा इकट्ठा करना आपके नियमों में एम्बेड किए गए रीड के साथ उस फ़ील्ड की वैल्यू. इसलिए, नियम कैसा दिखेगा, इसका उदाहरण यहां दिया गया है:
Cloud Firestore
service cloud.firestore {
match /databases/{database}/documents/some_collection: {
// Remember that, in Cloud Firestore, reads embedded in your rules are billed operations
write: if request.auth != null && get(/databases/(database)/documents/users/$(request.auth.uid)).data.admin == true;
read: if request.auth != null;
}
}
Authentication में कस्टम दावे बनाने के बाद, Rules में कस्टम दावे ऐक्सेस किए जा सकते हैं. इसके बाद आप
auth.token
वैरिएबल का इस्तेमाल करके उन कस्टम दावों का रेफ़रंस दें.
Cloud Firestore
service cloud.firestore {
match /databases/{database}/documents {
// For attribute-based access control, check for an admin claim
allow write: if request.auth.token.admin == true;
allow read: true;
// Alterntatively, for role-based access, assign specific roles to users
match /some_collection/{document} {
allow read: if request.auth.token.reader == "true";
allow write: if request.auth.token.writer == "true";
}
}
}
Realtime Database
{
"rules": {
"some_path/$sub_path": {
// Create a custom claim for the admin role
".write": "auth.uid !== null && auth.token.writer === true"
".read": "auth.uid !== null"
}
}
}
Cloud Storage
service firebase.storage {
// Create a custom claim for the admin role
match /files/{fileName} {
allow read: if request.auth.uid != null;
allow write: if request.auth.token.admin == true;
}
}
Authentication का इस्तेमाल करने वाले बेसिक Rules के और उदाहरण देखने के लिए, यहां देखें सुरक्षा के बुनियादी नियम.