Блог

Я создаю приложение для социальных сетей, в котором любой может прочитать, что происходит, но должен войти в систему, чтобы взаимодействовать с каждым сообщением. Я хотел бы найти способ, позволяющий всем моим пользователям делать это без небезопасной базы данных. Я почти закончил разработку и в настоящее время пытаюсь кое-что исправить.

Для моих текущих правил установлено значение true для целей разработки:

 {
  "rules": {
    ".read": true,
    ".write": true
  }
}
 

Я попробовал несколько правил

1.

 {
  "rules": {
      "$uid": {
        ".read": true,
        ".write": "auth.uid == $uid"
      }
  }
}
 

Который позволяет всем читать, но не разрешает запись из-за разрешений.

2)

 {
  "rules": {
      "$uid": {
        ".read": "auth.uid == $uid",
        ".write": "auth.uid == $uid"
      }
  }
}
 

Что не позволяет никому читать или записывать из-за разрешений.

3.

 {
  "rules": {
    ".read": "auth.uid != null",
    ".write": "auth.uid != null"
  }
}
 

Это работает, но позже я получаю электронное письмо, в котором сообщается, что моя база данных небезопасна.

Вот пример, который вызывает ошибку отказано в разрешении:

A) Когда пользователь нажимает кнопку отправки нового объявления, вызывается эта функция.

  StorageService.sendAnnouncementDataToDatabase(photoUrl: "", announcementComment: announcementComment, ratio: CGFloat(0), onSuccess: {
ProgressHUD.showSuccess("SWEET")
})
 

Б) Внутри функции sendAnnouncementDataToDatabase

         let ref = Ref().databaseAnnouncements
        let newAnnouncementID = ref.childByAutoId().key ?? ""
        let newAnnouncementReference = ref.child(newAnnouncementID)
        guard let currentUser = Api.User.CURRENT_USER  else {
            return
        }
  
        var dict = ["userId" : currentUserId, "photoUrl" : photoUrl]
        
        newAnnouncementReference.setValue(dict, withCompletionBlock: {(error,ref) in
// permission denied occurs here
})
 

Я прочитал много документов и задал вопрос. А также попытался установить правила для каждого пути. Тот же результат.

Любые идеи были бы полезны. Спасибо.

Если это реальная цель

в котором любой может прочитать, что происходит, но должен войти в систему, чтобы взаимодействовать с каждым сообщением

тогда это сделает это

 {
  "rules": {
    ".read": true,
    ".write": "auth != null"
  }
}
 

Поскольку это позволяет любому читать что угодно, но писать могут только аутентифицированные пользователи.

Однако, как упоминал Фрэнк в своих комментариях, это довольно небезопасно. Возможно, мы сможем немного расширить это решение, но без понимания всего варианта использования оно может выйти далеко за рамки того, что может быть опубликовано здесь в качестве полного ответа.