Firestore规则验证时机及监听权限变更后的数据接收问题

问题详情 #

Firestore规则是在每次接收数据时都会进行验证，还是仅在创建监听器时验证？

数据结构 #

- users
  - user1
    isAllowToReadMessage: true

- messages
  - message1
    content: "Hello"
  - message2
    content: "How are you doing"

规则配置 #

match /messages/{messageId} {
   allow list: get(/databases/$(database)/documents/users/$(request.auth.uid)).isAllowToReadMessage;
}

监听代码 #

_profileRepository.collection("messages")
            .doc(_firebaseAuth.currentUser!.uid)
            .snapshots()
            .listen((snapshot) {});

假设用户在/messages路径上添加了监听器，但之后isAllowToReadMessage被修改为false，请问该用户还能接收到最新的消息吗？

答案 #

Firestore的安全规则不会只在创建监听器时验证一次，而是每次有数据更新要推送给客户端时，都会重新校验权限。

当用户的isAllowToReadMessage被改为false后：

• Firestore会检测到权限变更，立刻终止该用户的监听器权限，客户端的监听回调将不再收到新的数据更新，部分场景下还会抛出权限不足的异常。
• 后续messages集合的任何新消息，该用户都无法接收到推送。

另外需要注意：你的监听代码是针对单个文档（messages/{uid}）的监听，对应的规则权限应该是allow get:，而你当前规则只配置了allow list:（对应集合的查询/监听操作）。所以即使isAllowToReadMessage为true，当前规则也会导致单个文档监听权限不足，需要补充对应的get权限配置。

内容的提问来源于stack exchange，提问作者flutroid