WWW無人速報

Firebaseを使ってみたいんや

まず rules_version = '2'; って宣言するんやで

次に service cloud.firestore の中に match/databases/{database}/documents って書くんや

そこからが本番やな コレクションとドキュメントの階層に合わせて match 使って指定するんや

allow read, write: if true; とかやったらアカンで 誰でも読み書きできてセキュアじゃなくなるからな

認証済みユーザーだけ読み書きさせたいなら allow read, write: if request.auth != null; やな

ユーザーのuidとドキュメントID一致させるのもよくあるパターンやな

>>30 match /users/{userId} { allow read, write: if request.auth.uid == userId; } みたいな感じやな

スキーマ検証もできるで フィールドの存在チェックしたり型チェックしたりな

>>46 allow create: if request.resource.data.keys().hasAll(['name', 'email']) && request.resource.data.name is string; みたいな

バリデーションもルールでやれるで 文字数制限とか値の範囲チェックとか

>>58 allow update: if request.resource.data.age is int && request.resource.data.age >= 20; みたいにな

ネストしたデータのバリデーションはちょっと大変やけどな

>>73 再帰的なルール書かんとあかんねん

ルール関数作ってそこで存在チェックと型チェックするんがオススメやな

>>84 function isValidUser(user) { return user.keys().hasAll(['name', 'age', 'email']) && user.name is string && user.age is int && user.email is string } みたいな感じで

>>87 そしたらルールは関数使って allow create: if isValidUser(request.resource.data); でスッキリ書けるで

ロールベースのアクセス制御もできるんやな

>>106 request.auth.token.role == 'admin' みたいに Custom Claims 使うんや

get と list は分けて allow 書くのもポイントやな

>>125 allow get: if isOwner(); allow list: if isAdmin(); みたいに

セキュリティルールのテストはちゃんと書くんやで エミュレータ使うと捗るで

@firebase/rules-unit-testing 使うとテストコード書きやすいんよ

assertFails(db.doc('users/dummy').get()) みたいにアクセス失敗テストするんや

ほんで assertSucceeds(authedDb.doc('users/alice').get()) みたいに成功テストもな

セキュリティルールのデプロイはFirebase CLIでやるんやな

>>151 firebase deploy --only firestore:rules でデプロイできるで

>>158 デプロイはGitHubActionsとかのCIに組み込んだ方がええな

>>160 本番のルールを一発で書き換えるんは危険やからな

ステージング環境のプロジェクト作ってそこでテストするんがオススメやで

セキュリティルールはアプリのセキュリティに直結するから慎重にな

ルールの記述量が多くなってきたら ファイル分割するんもありやな

>>176 firestore.rules ファイルにはメインのルール書いて 共通のルール関数は別ファイルに切り出すのがおすすめ

>>180 例えば firestore.rules で rules_version = '2'; service cloud.firestore { match /databases/{database}/documents { match /{document=**} { allow read, write: if false; } } } って感じでデフォルトを全拒否にしといて

>>185 各コレクションのルールは match /users/{userId} { allow read, write: if commonRule.isUserAuthenticated() && commonRule.isOwner(userId); } みたいに関数呼び出しでスッキリさせるんや

ルールのリファクタリングも大事やな DRYを意識してな

共通化できるルールはバンバン関数に切り出すんや

関数の命名も大事 isXxx() hasXxx() みたいな感じで

あとはコメント書くのも大事やな ルールは複雑になりがちやから

>>211 // Checks if the user is the owner of the document. function isOwner(userId) { ... } みたいにちゃんと書くんや

セキュリティルールはアプリの要やからな しっかり作り込むんやで