firebaseのrealtimeDatabaseのsecurity&rulesについて。

firebaseを用いて、webサイトを動かそうとしていたのですが、
ルールを設定する段階で、問題が発生し、色々な機能が動かなくなってしまいました。

サイトはこちら。

ルールの設定はこんな感じです。

json
1{
2  
3  "rules": {
4    
5    ".read": true,
6      
7    "users": {
8      ".read": true,   
9        
10      "$uid": { 
11        ".validate": "newData.hasChildren(['explain','profile_image','title','uid','user','userStar'])",
12        
13        "user":{
14          ".write": "$uid === auth.uid",
15          ".validate": "newData.isString() && newData.val().length <= 15",
16        },
17        "uid":{
18          ".write": "$uid === auth.uid",
19          ".validate": "newData.isString() && newData.val() == auth.uid",
20        },
21        "explain":{
22          ".write": "$uid === auth.uid",
23          ".validate": "newData.isString() && newData.val().length <= 300",
24        },
25        "title":{
26          ".write": "$uid === auth.uid",
27          ".validate": "newData.isString() && newData.val().length <= 20",
28        },
29        "profile_image":{
30          ".write": "$uid === auth.uid",
31          ".validate": "newData.isString() && newData.val().matches(/^(ht|f)tp(s?):\/\/[0-9a-zA-Z]([-.\w]*[0-9a-zA-Z])*((0-9)*)*(\/?)([a-zA-Z0-9\-\.\?\,\'\/\\+&=%\$#_]*)?$/)"
32        },
33        "user_posts":{
34          "$postsId":{
35            ".write": "$uid === auth.uid",
36          	".validate":"newData.val() === true"
37          }
38        },
39        "starred_users":{
40          "$starredUid":{
41            ".write": "$uid === auth.uid",
42          	".validate":"newData.val() === true",
43          },
44        },
45        "userStar":{  
46  				 ".validate":"newData.hasChild('starCount')",
47  				 "stars":{  
48     				 "$starUid":{  
49        				 ".write":"auth.uid == $starUid &&
50                 	 (!data.exists() && newData.exists() &&
51                 	 newData.parent().parent().child('starCount').val() == data.parent().parent().child('starCount').val() + 1
52                  	 ) ||
53                  	(data.exists() && !newData.exists() &&
54                  	newData.parent().parent().child('starCount').val() == data.parent().parent().child('starCount').val() - 1
55                  	 )",
56        					".validate": "newData.val() == true"
57     				 }
58 
59  				 },
60  				 "starCount":{
61     				 ".write":"auth != null",
62     				 ".validate":"(newData.val() == data.val() + 1 &&  
63                  newData.parent().child('stars').child(auth.uid).val() == true &&  
64                  !data.parent().child('stars').child(auth.uid).exists()
65                 ) ||
66                 (newData.val() == data.val() - 1 &&  
67                  !newData.parent().child('stars').child(auth.uid).exists() &&  
68                  data.parent().child('stars').child(auth.uid).val() == true
69                 )"
70   				},
71  				"$others":{
72     				".validate":false
73  				}
74				}
75        
76    	}
77  	},
78        
79    "posts":{
80      ".read": true,
81      ".write":"auth != null",
82      "$post":{
83				".write": "data.exists() ? (newData.child('uid').val() === auth.uid && 
84        newData.child('uid').val() === data.child('uid').val()) : 
85        newData.child('uid').val() === auth.uid",
86				".validate":"(newData.hasChildren(['author','body','postComment','postId','postStar','title','uid','timestamp']))||
87        (newData.hasChildren(['author','body','postComment','postId','postStar','title','uid','timestamp','post_image']))",
88
89        
90      	"author":{
91          ".write":"newData.parent().child('uid').val() === auth.uid",
92          ".validate": "newData.isString() && newData.val().length <= 15",
93        },
94        "title":{
95          ".write":"newData.parent().child('uid').val() === auth.uid",
96          ".validate": "newData.isString() && newData.val().length <= 20",
97        },
98        "body":{
99          ".write":"newData.parent().child('uid').val() === auth.uid",
100          ".validate": "newData.isString() && newData.val().length <= 300",
101        },
102        "uid":{
103          ".write":"newData.val() === auth.uid",
104        },
105        "timestamp":{
106          ".write":"newData.parent().child('uid').val() === auth.uid",
107        },
108        "postComment":{
109					".validate": "newData.hasChild('commentCount')",
110          ".write":true,
111          "commentCount":{
112            ".write":"auth != null",
113     				".validate":"(newData.val() == data.val() + 1) ||(newData.val() == data.val() - 1)"
114          },
115        	"comments":{
116          	"$commentId":{
117               ".write":"auth != null &&
118                 	 ((!data.exists() && newData.exists() && newData.child('uid').val() === auth.uid &&
119                 	 newData.parent().parent().child('commentCount').val() == data.parent().parent().child('commentCount').val() + 1
120                  	 ) ||
121                  	(data.exists() && !newData.exists() &&
122                  	newData.parent().parent().child('commentCount').val() == data.parent().parent().child('commentCount').val() - 1
123                  	 ))",
124        					".validate": "newData.val() == true"
125            }
126        	},
127          "$others": {
128						".write": false
129					} 
130      	},
131        "postId":{
132          ".write": "$post === newData.val()",
133        },
134        "postStar":{
135          ".write": "newData.val() === data.val() + 1",
136        },
137    	},
138    },
139        
140    "comments":{
141      ".read": true,
142      ".write":true,
143        
144      "$comment":{
145        ".write": "newData.child('uid').val() === auth.uid",
146        ".validate": "newData.hasChildren(['author','body','commentId','uid','profile_image'])",
147        
148      }
149    },
150      
151      
152    "$others": {
153			".validate": false
154		}
155    
156      
157  }
158  
159  
160}

サイトを見てもらうとどのようなサイトかわかると思うのですが、軽いSNSサイトのようなものです。投稿したりフォローしたりコメントしたり。

現在このルールのpostsのどこかのルールを通過できず投稿ができません。また、commentもpost内のcommentsにコメントIDを付加できず怪しい状態です。

ルールの設定に詳しい方、もしくは解決できそうな方、回答お願いします。

行動規範の内容に同意します

回答1件

ベストアンサー

ルールがてんこ盛りでこんがらがってしまいますね，お疲れ様です．

まずは，ウェブコンソール上の便利な確認ツールを使ってみましょう．
realtime databaseの「ルール」タブを押すと，右上に「シミュレータ」ボタンがあるはずです．
postsの保存先に適当な形式でpostさせてみましょう．
これを使えば，どのルールを通過出来なかったか分かると思います．

それから（解決してからの話ですが），今後はBolt Compilerの利用を検討してもいいかもしれません．
コメントや型の定義などできて便利です．
Firebase Boltでセキュリティルールを記述する

Firebase Japan User Group
https://firebase.asia/

投稿2017/11/16 12:31

Yatima

総合スコア1159

MOTOMUR

2017/11/16 15:49

丁寧な回答ありがとうございます。＞「シミュレータ」ボタンがあるはずですなぜか僕のプロジェクトでシミュレートをすると、どこでfalseとなったかという詳細が出てこないんですよね　汗それで余計に困惑していて、なかなかデバックできない状況です。バージョンとかあるのでしょうかね？普通にfirebaseのコンソールから行なっているんですけどね。＞Bolt Compilerの利用を検討してもいいかもしれません firebase上でのルール設定より細かくでき、簡単にできるツールとして捉えて大丈夫でしょうか？これの出力をfirebaseのルールにコピペする感じですかね？？ Qiitaの参考でくださった記事だと少し自分の理解力では例が足りないので、もう少し自分で探しても見ようと思うのですが、他に詳しいページにもし精通しておりましたら、教えていただけると嬉しいです。

Yatima

2017/11/17 05:52

入れようとしているデータの構造を間違っていたりしませんか？例えば`foo/bar/baz`に`"someUID":"true"`と入れるべきところを，`foo/bar`に`"baz":"true"`と入れてしまっている，など．この場合はOKもNGも詳細が出ません． > firebase上でのルール設定より細かくでき、簡単にできるツールとして捉えて大丈夫でしょうか？細かくはならない（出力するものは普通のルールなので）ですが，簡単にというのは概ねあっていると思います（正確には，大規模でも迷走しにくい）． > これの出力をfirebaseのルールにコピペする感じですかね？？それでいけます．詳しいページは，公式をGoogle翻訳するのが一番です（Chromeならページ内を右クリック）．使い方も掲載されてます．

MOTOMUR

2017/11/17 09:57

データ構造の問題の場合はそうなるのですね。たぶんそれが原因だと思います。ありがとうございます。頑張って直して、使えそうだったらBolt導入検討しますね！ありがとうございました！

行動規範の内容に同意します