Sử dụng các điều kiện trong Quy tắc bảo mật của Firebase Cloud Storage

Hướng dẫn này dựa trên hướng dẫn tìm hiểu cú pháp cốt lõi của ngôn ngữ Firebase Security Rules để hướng dẫn cách thêm điều kiện vào Firebase Security Rules cho Cloud Storage.

Khối xây dựng chính của Cloud Storage Security Rules là điều kiện. Điều kiện là một biểu thức boolean xác định xem một thao tác cụ thể có được cho phép hay bị từ chối. Đối với các quy tắc cơ bản, việc sử dụng các giá trị cố định true và false làm điều kiện sẽ hoạt động hoàn hảo. Tuy nhiên, Firebase Security Rules cho ngôn ngữ Cloud Storage cung cấp cho bạn các cách để viết các điều kiện phức tạp hơn có thể:

  • Kiểm tra quy trình xác thực người dùng
  • Xác thực dữ liệu đến

Xác thực

Firebase Security Rules cho Cloud Storage tích hợp với Firebase Authentication để cung cấp tính năng xác thực mạnh mẽ dựa trên người dùng cho Cloud Storage. Điều này cho phép kiểm soát quyền truy cập chi tiết dựa trên các tuyên bố về mã thông báo Firebase Authentication.

Khi một người dùng đã xác thực thực hiện yêu cầu đối với Cloud Storage, biến request.auth sẽ được điền bằng uid (request.auth.uid) của người dùng cũng như các thông báo xác nhận của JWT Firebase Authentication (request.auth.token).

Ngoài ra, khi sử dụng phương thức xác thực tuỳ chỉnh, các thông báo xác nhận bổ sung sẽ xuất hiện trong trường request.auth.token.

Khi một người dùng chưa được xác thực thực hiện một yêu cầu, biến request.auth sẽ là null.

Khi sử dụng dữ liệu này, có một số cách phổ biến để sử dụng phương thức xác thực nhằm bảo mật tệp:

  • Công khai: bỏ qua request.auth
  • Riêng tư đã xác thực: kiểm tra để đảm bảo request.auth không phải là null
  • Riêng tư của người dùng: kiểm tra để đảm bảo request.auth.uid bằng một đường dẫn uid
  • Nhóm riêng tư: kiểm tra các tuyên bố của mã thông báo tuỳ chỉnh để khớp với một tuyên bố đã chọn hoặc đọc siêu dữ liệu của tệp để xem có trường siêu dữ liệu hay không

Công khai

Bất kỳ quy tắc nào không xem xét ngữ cảnh request.auth đều có thể được coi là quy tắc public, vì quy tắc đó không xem xét ngữ cảnh xác thực của người dùng. Các quy tắc này có thể hữu ích khi hiển thị dữ liệu công khai, chẳng hạn như tài sản trò chơi, tệp âm thanh hoặc nội dung tĩnh khác.

// Anyone to read a public image if the file is less than 100kB
// Anyone can upload a public file ending in '.txt'
match /public/{imageId} {
  allow read: if resource.size < 100 * 1024;
  allow write: if imageId.matches(".*\\.txt");
}

Riêng tư đã xác thực

Trong một số trường hợp, bạn có thể muốn tất cả người dùng đã xác thực của ứng dụng có thể xem dữ liệu, nhưng người dùng chưa xác thực thì không. Vì biến request.auth là null đối với tất cả người dùng chưa xác thực, nên bạn chỉ cần kiểm tra xem biến request.auth có tồn tại hay không để yêu cầu xác thực:

// Require authentication on all internal image reads
match /internal/{imageId} {
  allow read: if request.auth != null;
}

Người dùng ở chế độ riêng tư

Cho đến nay, trường hợp sử dụng phổ biến nhất của request.auth là cung cấp cho từng người dùng các quyền chi tiết đối với tệp của họ: từ việc tải ảnh hồ sơ lên đến đọc tài liệu riêng tư.

Vì các tệp trong Cloud Storage có "đường dẫn" đầy đủ đến tệp, nên tất cả những gì cần làm để tạo một tệp do người dùng kiểm soát là một phần thông tin nhận dạng người dùng duy nhất trong tiền tố tên tệp (chẳng hạn như uid của người dùng) có thể được kiểm tra khi đánh giá quy tắc:

// Only a user can upload their profile picture, but anyone can view it
match /users/{userId}/profilePicture.png {
  allow read;
  allow write: if request.auth.uid == userId;
}

Đặt nhóm ở chế độ riêng tư

Một trường hợp sử dụng phổ biến khác là cho phép cấp quyền nhóm trên một đối tượng, chẳng hạn như cho phép một số thành viên trong nhóm cộng tác trên một tài liệu dùng chung. Có một số phương pháp để thực hiện việc này:

  • Tạo mã thông báo tuỳ chỉnh Firebase Authentication chứa thông tin bổ sung về một thành viên trong nhóm (chẳng hạn như mã nhận dạng nhóm)
  • Thêm thông tin về nhóm (chẳng hạn như mã nhận dạng nhóm hoặc danh sách uid được uỷ quyền) vào siêu dữ liệu tệp

Sau khi dữ liệu này được lưu trữ trong mã thông báo hoặc siêu dữ liệu tệp, bạn có thể tham chiếu dữ liệu đó từ bên trong một quy tắc:

// Allow reads if the group ID in your token matches the file metadata's `owner` property
// Allow writes if the group ID is in the user's custom token
match /files/{groupId}/{fileName} {
  allow read: if resource.metadata.owner == request.auth.token.groupId;
  allow write: if request.auth.token.groupId == groupId;
}

Yêu cầu đánh giá

Các hoạt động tải lên, tải xuống, thay đổi siêu dữ liệu và xoá được đánh giá bằng cách sử dụng request được gửi đến Cloud Storage. Ngoài mã nhận dạng duy nhất của người dùng và tải trọng Firebase Authentication trong đối tượng request.auth như mô tả ở trên, biến request chứa đường dẫn tệp nơi yêu cầu đang được thực hiện, thời điểm nhận được yêu cầu và giá trị resource mới nếu yêu cầu là ghi.

Đối tượng request cũng chứa mã nhận dạng duy nhất của người dùng và tải trọng Firebase Authentication trong đối tượng request.auth. Chúng tôi sẽ giải thích thêm về đối tượng này trong phần Bảo mật dựa trên người dùng của tài liệu.

Dưới đây là danh sách đầy đủ các thuộc tính trong đối tượng request:

Tài sản Loại Mô tả
auth map<string, string> Khi người dùng đăng nhập, hãy cung cấp uid, mã nhận dạng duy nhất của người dùng và token, một bản đồ của các thông báo xác nhận JWT Firebase Authentication. Nếu không, giá trị sẽ là null.
params map<string, string> Bản đồ chứa các tham số truy vấn của yêu cầu.
path đường dẫn path đại diện cho đường dẫn mà yêu cầu đang được thực hiện.
resource map<string, string> Giá trị tài nguyên mới, chỉ xuất hiện trên các yêu cầu write.
time dấu thời gian Dấu thời gian thể hiện thời gian máy chủ đánh giá yêu cầu.

Đánh giá tài nguyên

Khi đánh giá các quy tắc, bạn cũng nên đánh giá siêu dữ liệu của tệp đang được tải lên, tải xuống, sửa đổi hoặc xoá. Điều này cho phép bạn tạo các quy tắc phức tạp và mạnh mẽ để thực hiện những việc như chỉ cho phép tải lên các tệp có một số loại nội dung nhất định hoặc chỉ xoá các tệp có kích thước lớn hơn một kích thước nhất định.

Firebase Security Rules cho Cloud Storage cung cấp siêu dữ liệu tệp trong đối tượng resource. Đối tượng này chứa các cặp khoá/giá trị của siêu dữ liệu xuất hiện trong đối tượng Cloud Storage. Bạn có thể kiểm tra các thuộc tính này trên các yêu cầu read hoặc write để đảm bảo tính toàn vẹn của dữ liệu.

Trên các yêu cầu write (chẳng hạn như tải lên, cập nhật siêu dữ liệu và xoá), ngoài đối tượng resource chứa siêu dữ liệu tệp cho tệp hiện có tại đường dẫn yêu cầu, bạn cũng có thể sử dụng đối tượng request.resource chứa một tập hợp con siêu dữ liệu tệp sẽ được ghi nếu được phép ghi. Bạn có thể sử dụng hai giá trị này để đảm bảo tính toàn vẹn của dữ liệu hoặc thực thi các quy tắc ràng buộc của ứng dụng, chẳng hạn như loại tệp hoặc kích thước tệp.

Dưới đây là danh sách đầy đủ các thuộc tính trong đối tượng resource:

Tài sản Loại Mô tả
name chuỗi Tên đầy đủ của đối tượng
bucket chuỗi Tên của bộ chứa chứa đối tượng này.
generation int Quá trình tạo đối tượng Google Cloud Storage của đối tượng này.
metageneration int Tạo siêu dữ liệu đối tượng Google Cloud Storage của đối tượng này.
size int Kích thước của đối tượng tính bằng byte.
timeCreated dấu thời gian Dấu thời gian biểu thị thời điểm tạo đối tượng.
updated dấu thời gian Dấu thời gian biểu thị thời điểm gần đây nhất đối tượng được cập nhật.
md5Hash chuỗi Hàm băm MD5 của đối tượng.
crc32c chuỗi Hàm băm crc32c của đối tượng.
etag chuỗi Etag liên kết với đối tượng này.
contentDisposition chuỗi Vị trí lưu trữ nội dung được liên kết với đối tượng này.
contentEncoding chuỗi Mã hoá nội dung được liên kết với đối tượng này.
contentLanguage chuỗi Ngôn ngữ nội dung được liên kết với đối tượng này.
contentType chuỗi Loại nội dung liên kết với đối tượng này.
metadata map<string, string> Các cặp khoá/giá trị của siêu dữ liệu tuỳ chỉnh bổ sung do nhà phát triển chỉ định.

request.resource chứa tất cả các thuộc tính này ngoại trừ generation, metageneration, etag, timeCreated và updated.

Cải thiện bằng Cloud Firestore

Bạn có thể truy cập vào các tài liệu trong Cloud Firestore để đánh giá các tiêu chí uỷ quyền khác.

Khi sử dụng các hàm firestore.get() và firestore.exists(), quy tắc bảo mật của bạn có thể đánh giá các yêu cầu đến dựa trên tài liệu trong Cloud Firestore. Cả hàm firestore.get() và firestore.exists() đều yêu cầu đường dẫn tài liệu được chỉ định đầy đủ. Khi sử dụng biến để tạo đường dẫn cho firestore.get() và firestore.exists(), bạn cần thoát rõ ràng các biến bằng cú pháp $(variable).

Trong ví dụ dưới đây, chúng ta thấy một quy tắc hạn chế quyền đọc tệp đối với những người dùng là thành viên của các câu lạc bộ cụ thể.

service firebase.storage {
  match /b/{bucket}/o {
    match /users/{club}/files/{fileId} {
      allow read: if club in
        firestore.get(/databases/(default)/documents/users/$(request.auth.id)).memberships
    }
  }
}
 Trong ví dụ tiếp theo, chỉ bạn bè của người dùng mới có thể xem ảnh của họ. 
service firebase.storage {
  match /b/{bucket}/o {
    match /users/{userId}/photos/{fileId} {
      allow read: if
        firestore.exists(/databases/(default)/documents/users/$(userId)/friends/$(request.auth.id))
    }
  }
}

Sau khi tạo và lưu Cloud Storage Security Rules đầu tiên sử dụng các hàm Cloud Firestore này, bạn sẽ được nhắc trong bảng điều khiển Firebase hoặc CLI Firebase để bật quyền kết nối hai sản phẩm.

Bạn có thể tắt tính năng này bằng cách xoá một vai trò IAM, như mô tả trong phần Quản lý và triển khai Firebase Security Rules.

Xác thực dữ liệu

Bạn cũng có thể dùng Firebase Security Rules cho Cloud Storage để xác thực dữ liệu, bao gồm cả việc xác thực tên và đường dẫn tệp cũng như các thuộc tính siêu dữ liệu của tệp như contentType và size.

service firebase.storage {
  match /b/{bucket}/o {
    match /images/{imageId} {
      // Only allow uploads of any image file that's less than 5MB
      allow write: if request.resource.size < 5 * 1024 * 1024
                   && request.resource.contentType.matches('image/.*');
    }
  }
}

Hàm tuỳ chỉnh

Khi Firebase Security Rules trở nên phức tạp hơn, bạn nên gói các tập hợp điều kiện trong các hàm mà bạn có thể sử dụng lại trên quy tắc của mình. Quy tắc bảo mật hỗ trợ các hàm tuỳ chỉnh. Cú pháp cho các hàm tuỳ chỉnh hơi giống với JavaScript, nhưng các hàm Firebase Security Rules được viết bằng một ngôn ngữ dành riêng cho miền có một số hạn chế quan trọng:

  • Hàm chỉ có thể chứa một câu lệnh return. Các hàm này không thể chứa bất kỳ logic bổ sung nào. Ví dụ: các hàm này không thể thực thi vòng lặp hoặc gọi các dịch vụ bên ngoài.
  • Các hàm có thể tự động truy cập vào các hàm và biến từ phạm vi được xác định. Ví dụ: một hàm được xác định trong phạm vi service firebase.storage có quyền truy cập vào biến resource và chỉ dành cho Cloud Firestore, các hàm tích hợp sẵn như get() và exists().
  • Hàm có thể gọi các hàm khác nhưng không được đệ quy. Tổng chiều sâu ngăn xếp lệnh gọi được giới hạn ở mức 10.
  • Trong phiên bản rules2, các hàm có thể xác định biến bằng từ khoá let. Hàm có thể có bất kỳ số lượng liên kết let nào, nhưng phải kết thúc bằng câu lệnh trả về.

Hàm được xác định bằng từ khoá function và nhận từ 0 đến nhiều đối số. Ví dụ: bạn có thể muốn kết hợp hai loại điều kiện được sử dụng trong các ví dụ trên thành một hàm duy nhất:

service firebase.storage {
  match /b/{bucket}/o {
    // True if the user is signed in or the requested data is 'public'
    function signedInOrPublic() {
      return request.auth.uid != null || resource.data.visibility == 'public';
    }
    match /images/{imageId} {
      allow read, write: if signedInOrPublic();
    }
    match /mp3s/{mp3Ids} {
      allow read: if signedInOrPublic();
    }
  }
}

Việc sử dụng các hàm trong Firebase Security Rules giúp bạn dễ bảo trì hơn khi độ phức tạp của các quy tắc tăng lên.

Các bước tiếp theo

Sau khi thảo luận về các điều kiện, bạn đã hiểu rõ hơn về Quy tắc và sẵn sàng:

Tìm hiểu cách xử lý các trường hợp sử dụng cốt lõi và tìm hiểu quy trình phát triển, kiểm thử và triển khai Quy tắc: