Cloud Storage için Firebase Security Rules, Cloud Storage paketlerinde depolanan nesnelere erişimi kontrol etmenizi sağlar. Esnek kurallar söz dizimi, Cloud Storagepaketinize yapılan tüm yazma işlemlerinden belirli bir dosyadaki işlemlere kadar her türlü işlemi kontrol edecek kurallar oluşturmanıza olanak tanır.
Bu kılavuzda, tam kural kümeleri oluşturmak için Cloud Storage Security Rules'ün temel söz dizimi ve yapısı açıklanmaktadır.
Hizmet ve veritabanı beyanı
Firebase Security Rules for Cloud Storage her zaman aşağıdaki beyanla başlar:
service firebase.storage {
// ...
}
service firebase.storage beyanı, kuralları Cloud Storage kapsamına alarak Cloud Storage Security Rules ile Cloud Firestore gibi diğer ürünlerin kuralları arasındaki çakışmaları önler.
Temel okuma/yazma kuralları
Temel kurallar, Cloud Storage paketlerini tanımlayan bir match ifadesi, dosya adını belirten bir eşleşme ifadesi ve belirtilen verilerin ne zaman okunmasına izin verildiğini açıklayan bir allow ifadesinden oluşur. allow ifadeleri, ilgili erişim yöntemlerini (ör. okuma, yazma) ve erişime izin verilen ya da reddedilen koşulları belirtir.
Varsayılan kural kümenizdeki ilk match ifadesi, kuralların projenizdeki tüm paketler için geçerli olduğunu belirtmek üzere {bucket} joker karakter ifadesi kullanır. Joker karakter eşleşmeleri fikrini bir sonraki bölümde daha ayrıntılı olarak ele alacağız.
service firebase.storage {
// The {bucket} wildcard indicates we match files in all Cloud Storage buckets
match /b/{bucket}/o {
// Match filename
match /filename {
allow read: if <condition>;
allow write: if <condition>;
}
}
}
Tüm eşleşme ifadeleri dosyaları işaret eder. Eşleşme ifadesi, match /images/profilePhoto.png'de olduğu gibi belirli bir dosyaya
işaret edebilir.
Joker karakterleri eşleştir
Rules, tek bir dosyayı işaretlemenin yanı sıra match /images/{imageId}'taki gibi adında belirli bir dize ön ekiyle (eğik çizgiler dahil) başlayan tüm dosyaları işaretlemek için joker karakterler kullanabilir.
Yukarıdaki örnekte, eşleme ifadesi {imageId} joker karakter söz dizimini kullanır.
Bu durum, kuralın adının başında /images/ bulunan tüm dosyalar (ör. /images/profilePhoto.png veya /images/croppedProfilePhoto.png) için geçerli olduğu anlamına gelir. Eşleme ifadesindeki allow ifadeleri değerlendirildiğinde imageId değişkeni, profilePhoto.png veya croppedProfilePhoto.png gibi resim dosya adına çözümlenir.
Dosya adı veya yol yetkilendirmesi sağlamak için match içinden bir joker değişkenine referans verilebilir:
// Another way to restrict the name of a file
match /images/{imageId} {
allow read: if imageId == "profilePhoto.png";
}
Hiyerarşik veriler
Daha önce de belirttiğimiz gibi, Cloud Storage paketlerinde hiyerarşik yapı yoktur. Ancak dosya adlandırma kuralı kullanarak (genellikle dosya adlarında eğik çizgi içeren bir kural) iç içe yerleştirilmiş bir dizi dizin ve alt dizin gibi görünen bir yapı taklit edebiliriz. Firebase Security Rules tarayıcının bu dosya adlarıyla nasıl etkileşimde bulunduğunu anlamak önemlidir.
Adlarının tümü /images/ kökü ile başlayan bir dosya grubunu ele alalım. Firebase Security Rules yalnızca eşleşen dosya adında geçerli olduğundan /images/ kökünde tanımlanan erişim denetimleri /mp3s/ kökünde geçerli olmaz.
Bunun yerine, farklı dosya adı kalıplarıyla eşleşen açık kurallar yazın:
service firebase.storage {
match /b/{bucket}/o {
match /images/{imageId} {
allow read, write: if <condition>;
}
// Explicitly define rules for the 'mp3s' pattern
match /mp3s/{mp3Id} {
allow read, write: if <condition>;
}
}
}
match ifadeleri iç içe yerleştirilirken iç match ifadesinin yolu her zaman dış match ifadesinin yoluna eklenir. Bu nedenle aşağıdaki iki kural kümesi eşdeğerdir:
service firebase.storage {
match /b/{bucket}/o {
match /images {
// Exact match for "images/profilePhoto.png"
match /profilePhoto.png {
allow write: if <condition>;
}
}
}
}
service firebase.storage {
match /b/{bucket}/o {
// Exact match for "images/profilePhoto.png"
match /images/profilePhoto.png {
allow write: if <condition>;
}
}
}
Yinelemeli eşleşme joker karakterleri
Dosya adının sonundaki dizelerle eşleşen ve döndüren joker karakterlere ek olarak, joker karakter adına =** ekleyerek daha karmaşık eşleşmeler için {path=**} gibi bir çoklu segment joker karakteri tanımlanabilir:
// Partial match for files that start with "images"
match /images {
// Exact match for "images/**"
// e.g. images/users/user:12345/profilePhoto.png is matched
// images/profilePhoto.png is also matched!
match /{allImages=**} {
// This rule matches one or more path segments (**)
// allImages is a path that contains all segments matched
allow read: if <other_condition>;
}
}
Birden fazla kural bir dosyayla eşleşirse sonuç, tüm kural değerlendirmelerinin sonucunun OR'sidir. Yani, dosyanın eşleştiği bir kural true olarak değerlendirilirse sonuç true olur.
Yukarıdaki kurallarda, condition veya other_condition doğru olarak değerlendirilirse "images/profilePhoto.png" dosyası okunabilir. "images/users/user:12345/profilePhoto.png" dosyası ise yalnızca other_condition sonucuna tabidir.
Cloud Storage Security Rules basamaklandırılmaz ve kurallar yalnızca istek yolu, belirtilen kurallara sahip bir yola eşleştiğinde değerlendirilir.
Sürüm 1
Firebase Security Rules varsayılan olarak 1. sürümü kullanır. 1. sürümde, yinelenen joker karakterler sıfır veya daha fazla öğe değil, bir veya daha fazla dosya adı öğesiyle eşleşir. Bu nedenle, match /images/{filenamePrefixWildcard}/{imageFilename=**}, /images/profilePics/profile.png gibi bir dosya adıyla eşleşirken /images/badge.png ile eşleşmez. Bunun yerine /images/{imagePrefixorFilename=**} kullanın.
Yinelemeli joker karakterler, eşleşme ifadesinin sonuna gelmelidir.
Daha güçlü özellikleri için 2. sürümü kullanmanızı öneririz.
Sürüm 2
Firebase Security Rules sürümünün 2. sürümünde, yinelemeli joker karakterler sıfır veya daha fazla yol öğesiyle eşleşir. Bu nedenle, /images/{filenamePrefixWildcard}/{imageFilename=**} dosya adları /images/profilePics/profile.png ve /images/badge.png ile eşleşir.
Güvenlik kurallarınızın en üstüne rules_version = '2'; ekleyerek 2. sürümü etkinleştirmeniz gerekir:
rules_version = '2';
service cloud.storage {
match /b/{bucket}/o {
...
}
}
Eşleşme ifadesi başına en fazla bir yinelenen joker karakteriniz olabilir ancak 2. sürümde bu joker karakteri eşleşme ifadesinin herhangi bir yerine yerleştirebilirsiniz. Örneğin:
rules_version = '2';
service firebase.storage {
match /b/{bucket}/o {
// Matches any file in a songs "subdirectory" under the
// top level of your Cloud Storage bucket.
match /{prefixSegment=**}/songs/{mp3filenames} {
allow read, write: if <condition>;
}
}
}
Ayrıntılı işlemler
Bazı durumlarda read ve write'yi daha ayrıntılı işlemlere ayırmak faydalı olabilir. Örneğin, uygulamanız dosya oluşturma işlemi için dosya silme işleminden farklı koşullar uygulamak isteyebilir.
read işlemi get ve list olarak ayrılabilir.
write kuralı create, update ve delete olarak ayrılabilir:
service firebase.storage { match /b/{bucket}/o { // A read rule can be divided into read and list rules match /images/{imageId} { // Applies to single file read requests allow get: if <condition>; // Applies to list and listAll requests (Rules Version 2) allow list: if <condition>; // A write rule can be divided into create, update, and delete rules match /images/{imageId} { // Applies to writes to file contents allow create: if <condition>; // Applies to updates to (pre-existing) file metadata allow update: if <condition>; // Applies to delete operations allow delete: if <condition>; } } } }
Çakışan eşleşme ifadeleri
Bir dosya adı birden fazla match ifadesiyle eşleşebilir. Birden fazla allow ifadesinin bir istekle eşleştiği durumlarda, aşağıdaki koşullardan truebiri geçerliyse erişime izin verilir:
service firebase.storage {
match b/{bucket}/o {
// Matches file names directly inside of '/images/'.
match /images/{imageId} {
allow read, write: if false;
}
// Matches file names anywhere under `/images/`
match /images/{imageId=**} {
allow read, write: if true;
}
}
}
Yukarıdaki örnekte, ilk kural false olsa bile ikinci kural her zaman true olduğundan adı /images/ ile başlayan dosyaları tüm okuma ve yazma işlemlerine izin verilir.
Kurallar filtre değildir
Verilerinizin güvenliğini sağladıktan ve dosya işlemleri yapmaya başladıktan sonra güvenlik kurallarının filtre olmadığını unutmayın. Bir dosya adı kalıbıyla eşleşen bir dosya grubunda işlem yapamaz ve Cloud Storage'ün yalnızca mevcut istemcinin erişme iznine sahip olduğu dosyalara erişmesini bekleyemezsiniz.
Örneğin, aşağıdaki güvenlik kuralını ele alalım:
service firebase.storage {
match /b/{bucket}/o {
// Allow the client to read files with contentType 'image/png'
match /aFileNamePrefix/{aFileName} {
allow read: if resource.contentType == 'image/png';
}
}
}
Reddedildi: Sonuç kümesi, contentType değerinin image/png olmadığı dosyaları içerebileceği için bu kural aşağıdaki isteği reddeder:
Web
filesRef = storage.ref().child("aFilenamePrefix"); filesRef.listAll() .then(function(result) { console.log("Success: ", result.items); }) });
Cloud Storage Security Rules içindeki kurallar her sorguyu olası sonucuna göre değerlendirir ve istemcinin okuma izni olmayan bir dosyayı döndürebileceği durumlarda isteği geçersiz kılar. Erişim istekleri, kurallarınız tarafından belirlenen kısıtlamalara uymalıdır.
Sonraki adımlar
Cloud Storage için Firebase Security Rules hakkında daha fazla bilgi edinebilirsiniz:
Kurallarınızın kullanıcı yetkilendirmesini kontrol etmesine, mevcut ve gelen verileri karşılaştırmasına, gelen verileri doğrulamasına ve daha fazlasını yapmasına olanak tanıyan Kurallar dilinin bir sonraki temel kavramı olan dinamik koşullar hakkında bilgi edinin.
Tipik güvenlik kullanım alanlarını ve bu kullanım alanlarını ele alan Firebase Security Rules tanımlarını inceleyin.
Cloud Storage'a özgü Firebase Security Rules kullanım alanını keşfedebilirsiniz: