Firebase Sicherheitsregel

Question

Ich habe Daten in Feuerbasis in folgendem Format -

"requests" : { 
    "-KpPjt5jQZHBalQRxKSK" : { 
     "email" : "pariksheet@agsft.com", 
     "itemId" : "-KmazkKp5wavdHOczlDS", 
     "quantity" : 1, 
     "status" : "new" 
    }, 
    "-KpZsw3KHE9oD1CIFQ4R" : { 
     "email" : "pbarapatre@gmail.com", 
     "itemId" : "-Kmb-ZXfao7VdfenhfYj", 
     "quantity" : 1, 
     "status" : "new" 
    } 
    } 

Jede Anfrage enthält

"email" <- user's email id who has initiated the request. 
"itemId" <- id of requested item 
"quantity" <- item quantity 
"status" <- "new" | "approved" | decline. 

I Firebase Regel zu schreiben, haben Schwierigkeiten, die würden:

• authentifizierten ermöglichen Benutzer, um auf Anfragen zuzugreifen/zu lesen, die von ihm/ihr erhoben werden.
• erlauben Admin Benutzer alle Anfragen zu lesen/zu aktualisieren.

Meine aktuelle Regel lautet wie folgt:

{ 
    "rules": { 
    ".read": false, 
    ".write": false, 
    "items" : { 
    ".read": "auth != null", 
    ".write": "root.child('roles').child(auth.uid).val() === 'admin'" 
    }, 
    "requests": { 
     ".write": "root.child('roles').child(auth.uid).val() === 'admin'", /*Only Admins can update request*/ 
     "$rId": { 
      ".read": "data.child('email').val() == auth.email || root.child('roles').child(auth.uid).val() === 'admin'"/*Request owner and admin can only read the particular request*/ 
     } 
    } 
    } 
} 

Ich habe separate Knoten Rollen aufrechterhalten, die hat { "uid": "Rolle" }

ich AngularFire2 bin mit abfragen Firebase in meiner App.

Beispielcode zum Abrufen Anforderungen mit bestimmten Status wie unten

const queryList$ = this.db.list('/requests', { 
    query: { 
     orderByChild: 'status', 
     equalTo: status 
    } 
}) 

Dank Pari

Answer 1

Ich schlage vor, Sie folgende Änderungen vornehmen:

In der Wurzel der Datenbank ein neues Objekt erstellen admins

"admins": { 
    "<ADMIN_1_UID>": "true", 
    "<ADMIN_2_UID>": "true" 
} 

Dann Änderungen vornehmen, um Ihre Sicherheitsregeln wie folgt aus:

"rules": { 
    "admins": { 
     ".read": false, 
     ".write": false /*This ensures that only from firebase console you can add data to this object*/ 
    }, 
    "requests": { 
     ".read": "root.child('admins').child(auth.uid).val()", 
     ".write": "root.child('admins').child(auth.uid).val()", /*Only Admins can read/update all requests*/ 
     "$rId": { 
      ".read": "data.child('email').val() == auth.email"/*Request owner can read only the particular request*/ 
     } 
    } 
}