9

Criei a seguinte estrutura de segurança no Realtime Database:

{
  "rules": {
    "receita": {
      "$chave": { 
        ".write": "auth.uid === newData.child('usuario').val()",
        ".read": "auth.uid === data.child('usuario').val() || data.child('tipo').val() === true"
      }
    }
  }
}

Para a seguinte estrutura de dados no banco:

{
  "receita" : {
    "-L92JgTg4xIDCymtq26h" : {
      "imagem" : "default",
      "ingrediente" : [ "teste" ],
      "nome" : "teste",
      "preparo" : "teste",
      "tipo" : true,
      "usuario" : "Az2Mra1xJwXtpaspGwgvj7hm9NA2"
    },
    "-L9CwBmuVETG5TSjLHz7" : {
      "imagem" : "default",
      "ingrediente" : [ "teste" ],
      "nome" : "teste",
      "preparo" : "teste",
      "tipo" : true,
      "usuario" : "Az2Mra1xJwXtpaspGwgvj7hm9NA2"
    }
  }
}

Usando o Authentication com o Google Provider

O ".write" funciona perfeitamente, porém o ".read" não (erro de permição), já mudei o mesmo para:

".read": true //Leitura pública

Porém também não funcionou, acredito que o erro esteja na estrutura das minha regra mas não sei onde

Para "funcionar", mudei as regras para:

{
  "rules": {
    "receita": {
      "$chave": { 
        ".write": "auth.uid === newData.child('usuario').val()"
      },
      ".read": "true"
    }
  }
}

Testei assim também, mas sem sucesso:

".read": "auth.uid === data.child($chave + '/usuario').val() || data.child($chave + '/tipo').val() === true"

Com as regras estruturadas da primeira maneira, tentei buscar os dados da seguinte forma:

firebase.database().ref('receita').once('value').then(function(snapshot) {
    console.log(snapshot.val())
})

Porém resulta no erro de permissão, mas ao fazer o mesmo passando uma chave valida para referência funciona:

firebase.database().ref('receita/-L8UX8Ajz8P1XcudJUih').once('value').then(function(snapshot) {
    console.log(snapshot.val())
})

Então o erro está ao pegar uma referência do banco pois no diretório receita (/receita), não possuo nenhuma regra, apenas em /receita/$chave

5
  • Você tem a regra auth.uid === newData.child('usuario').val(), mas no seu banco, vejo que tem o usuário -L7WxcAHr8LkfJAiI8ku. Esse id parece ter sido gerado por um push() no banco de dados. O auth.uid tem um valor diferente desse push. Por isso a regra sempre irá retornar false. 1/04/2018 às 0:55
  • @RosárioPereiraFernandes não, o valor -L7WxcAHr8LkfJAiI8ku é gerado pelo Authentication, uso push apenas para adicionar uma chave de objeto receita. o método que define a chave do usuário: auth.signInWithPopup(new firebase.auth.GoogleAuthProvider()).then(function(result) { chave_usuario = result.user.uid; })
    – Costamilam
    1/04/2018 às 2:40
  • Muito bem... Mas o que você está tentando fazer parece ser contraditório. As suas regras permitem ler apenas receitas criadas por um usuário e do tipo true (há uma filtragem). Mas você quer que as regras permitam ler todas receitas (sem filtragem).. Será que você está tentando fazer queries para 2 tipos de usuário? O "admin" lê todas receitas e o usuário normal lê só as receitas dele? 9/04/2018 às 14:47
  • 1
    A idéia é: Os usuários podem ver as suas receitas (públicas ou privadas); Os usuários podem ver as receitas públicas (tipo === true); Não possuo usuário admin ou normal, apenas usuários
    – Costamilam
    9/04/2018 às 14:50
  • 1
    Não é "As suas regras permitem ler apenas receitas criadas por um usuário e do tipo true", e sim "As suas regras permitem ler apenas receitas criadas pelo usuário conectado OU do tipo true"
    – Costamilam
    9/04/2018 às 14:56

2 Respostas 2

4

Então o erro está ao pegar uma referência do banco pois no diretório receita (/receita), não possuo nenhuma regra, apenas em /receita/$chave

Está corretíssimo!

Para resolver esse problema, você pode utilizar as query-based rules.

Para o usuário ver todas as suas receitas (públicas ou privadas), você faria a query:

firebase.database().ref('receita').orderByChild('usuario').equalTo(currentUser.uid)
.once('value').then(function(snapshot) {
    console.log(snapshot.val())
})

Para o usuário ver apenas receitas públicas:

firebase.database().ref('receita').orderByChild('tipo').equalTo(true)
.once('value').then(function(snapshot) {
    console.log(snapshot.val())
})

Então é só indicar nas regras que apenas estas 2 queries são permitidas:

{
    "rules":{
        "receita":{
            ".read":"(query.orderByChild == 'usuario' && query.equalTo == auth.uid) || (query.orderByChild == 'tipo' && query.equalTo == true)",
            "$chave":{
                ".write":"auth.uid === newData.child('usuario').val()"
            }
        }
    }
}
3
  • Porém ao fazer isso perderia a ordenação por nome da receita, como resolver?
    – Costamilam
    9/04/2018 às 15:38
  • Experimente adicionar também a regra ".indexOn":"nome" 9/04/2018 às 15:40
  • Talvez (com um pouco de gambi) eu possa fazer dessa forma, mas complicaria muito ja que tenho outras query que iriam dificultar bastante. O que eu queria mesmo é saber o por que que as minhas regras não funcionam
    – Costamilam
    10/04/2018 às 9:42
0

Consegui resolver o problema alterando a estrutura do banco, dividindo as informações de acesso aos dados e os próprios dados

Estrutura do banco:

{
  "receita" : {
    "acesso" : {
      "-L92JgTg4xIDCymtq26h" : {
        "tipo" : true,
        "usuario" : "Az2Mra1xJwXtpaspGwgvj7hm9NA2"
      },
      "-L9CwBmuVETG5TSjLHz7" : {
        "tipo" : true,
        "usuario" : "Az2Mra1xJwXtpaspGwgvj7hm9NA2"
      }
    }
    "dados" : {
      "-L92JgTg4xIDCymtq26h" : {
        "imagem" : "default",
        "ingrediente" : [ "teste" ],
        "nome" : "teste",
        "preparo" : "teste"
      },
      "-L9CwBmuVETG5TSjLHz7" : {
        "imagem" : "default",
        "ingrediente" : [ "teste" ],
        "nome" : "teste",
        "preparo" : "teste"
      }
    }
  }
}

Regras do banco:

{
  "rules": {
    "receita": {
      "acesso": {
        ".read": true,
        "$chave": {
          ".write": "data.exists() && auth.uid === data.child('usuario').val() || !data.exists() && auth.uid === newData.child('usuario').val()"
        },
        ".indexOn": ["usuario", "tipo"]
      },
      "dado": {
        "$chave": {
          ".write": "auth.uid === root.child('receita/acesso/' + $chave + '/usuario').val()",
          ".read": "auth.uid === root.child('receita/acesso/' + $chave + '/usuario').val() || root.child('receita/acesso/' + $chave + '/tipo').val() === true",
          ".indexOn": "nome"
        }
      }
    }
  }
}

Dessa forma, os dados de acesso são públicos, porém para ver os dados das receitas é necessário a permissão

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .