firebaseのセキュリティルールでのアカウント識別

Question

firebaseのセキュリティルールについて、匿名ログインを行なったアカウントとメールでログインを行なったアカウントを識別する方法はありますか？
もしくは、メールアドレス承認が未完了のアカウントと完了済みのアカウントを区別する方法でも構いません。

よろしくお願いします。

Answer 1

FirebaseのWebコンソール内のFirestoreページから、「ルールを編集」の画面でユーザーの状態をもとにしたルールのテストができます。
そこでユーザーの状態ごとにどのようなオブジェクトを持っているかがわかるので、確認してみると良いかと。

https://console.firebase.google.com/project/`PROJECT_ID`/firestore/rules

例として「匿名ログイン」の場合だと、

• 「認証済み」をオンに
• 「Firebase UID」を雑なUSER_IDに
• 「認証プロバイダー」をanonymousに

設定すると、以下のような構造になるようです。

{
  "uid": "USER_ID",
  "token": {
    "sub": "USER_ID",
    "aud": "YOUR_PROJECT_ID?",
    "firebase": {
      "sign_in_provider": "anonymous"
    }
  }
}

この場合なら、request.auth != null && request.auth.token.firebase.sign_in_provider == "anonymous"で匿名ユーザーかどうかによるフィルタリングが出来ると思います。