認証されたユーザによる古いデータの削除のみを許可するFirebaseルール

Question

質問は以下の拡張された発送枝についてです。どこでも認証されたユーザーだけがOWNのデータをどこにでも書くことができます。ただし、1つの例外があります。 ANY認証済みのユーザーかもしれません。のデータを読んでください。

は、これまでのところ、私は何の問題もなかったが、ここ1つの、特殊なルールです：船のブランチタイムスタンプが10秒またはそれ以上の年齢であることを提供して

がANY認証されたユーザが任意のUIDの下に子を削除することができます。

私はすべてのユーザが呼び出すことができるようにしたい：

firebase.database().ref('/ships/gp3tJa3tgThukt39EejqJpZq12L2/granit').remove(); 

uid: gp3tJa3tgThukt39EejqJpZq12L2 

shipid: granit 

そしてだけ削除する権限を付与します。

は、レコードの年齢を確認するために、私は（このレコードが頻繁に更新されるので、私はここに、配列を使用していると私は最小限にデータを保存しておきたい）インデックス0でperf配列にfirebase.database.ServerValue.TIMESTAMPを保存。

クライアント側では、レコードが期限切れになる可能性が高く、その後は削除を呼び出すことができます。これは無駄な通話を避けるためです。

私は正しいルールを定義するためにいくつかの助けが必要です。問題の行は、このルールを定義しようとした2番目の例で強調表示されています。

{ 
    "ships": { 
     "EnBawzb0CjZVgAKrMZD4HE3k5rW2": { 
      "oasisoftheseas": { 
       "param": { 
        "scale": 0.33075936163570846, 
        "type": "cruise/royalcaribbean/oasisoftheseas" 
       }, 
       "perf": { 
        "0": 1, 
        "1": 1.11014724E7, 
        "2": 1.70473256E7, 
        "3": 115.7, 
        "timeStamp": 1475144447302 
       } 
      } 
     }, 
     "gp3tJa3tgThukt39EejqJpZq12L2": { 
      "granit": { 
       "param": { 
        "scale": 0.12235531736978282, 
        "type": "riverbarge/granit" 
       }, 
       "perf": { 
        "0": 5, 
        "1": 2.05622392E7, 
        "2": 13154087, 
        "3": 285.9, 
        "timeStamp": 1475144450086 
       } 
      } 
     } 
    } 
} 

以下のルール。私が正しく定義することに興味があるのは$ shipidの書き込みルールです。

{ 
    "rules": { 
    "anchors": { 
     "$uid":{ 
     ".read": "auth.uid === $uid", 
     ".write": "auth.uid === $uid" 
     } 
    }, 
    "completed": { 
     "$uid":{ 
     ".read": "auth.uid === $uid", 
     ".write": "auth.uid == $uid" 
     } 
    },  
    "ships": { 
     ".read": "auth !== null", 
     "$uid":{ 
     ".write": "auth.uid === $uid", 
     "$shipid":{ 
      ".write": "((auth !== null) && 
         (now - data.child('perf').child('timeStamp').val() >= 10000))" 
     } 
     } 
    }, 
    "shipslog": { 
     "$uid":{ 
     ".read": "auth.uid === $uid", 
     ".write": "auth.uid === $uid" 
     } 
    }  
    } 
} 

Answer 1

さて、私はフランク氏の確認のとおりに考え出しました。問題で編集された解決策は、正しい、安全で働きやすいものです。

"ships": { 
     ".read": "auth !== null", 
     "$uid":{ 
     ".write": "auth.uid === $uid", 
     "$shipid":{ 
      ".write": "((auth !== null) && 
         (now - data.child('perf').child('timeStamp').val() >= 10000))" 
     } 
     } 
    },... 

すべてのデータは、レコードの所有者によって発送枝に書き込まれます。より深いレベルでは、uidワイルドカードとshipidワイルドカードを使用して、期限切れになる可能性のあるデータにアクセスし、削除する必要があります。

タイムスタンプはサーバー側のサーバーによって提供されるので安全です。船を削除することは、認証されたすべてのユーザーによってのみ行われ、現在とタイムスタンプの差が10000ミリ秒を超えている場合に限ります。

これはおそらく、サーバアプリケーションのビジネスロジックを必要とせずに、クライアントアプリが古いデータをクリーンアップできるようにするクリーンな一般的な方法です。