Firebase Security Rules sind die Gatekeeper Ihrer Daten. Holen Sie sich sie falsch und Ihre Datenbank ist ausgesetzt. Holen Sie sie richtig und Ihre App ist standardmäßig sicher.

Das Prinzip des geringsten Privilegs

Beginnen Sie, indem Sie allen Zugang verweigern, dann gewähren Sie nur das, was benötigt wird:

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // Deny all by default
    match /{document=**} {
      allow read, write: if false;
    }

    // Grant access to specific collections
    match /users/{userId} {
      allow read, write: if request.auth != null
        && request.auth.uid == userId;
    }
  }
}

# Testen Sie Ihre Regeln

Verwenden Sie die Firebase Emulator Suite:

firebase emulators:start --only firestore,auth

Testen Sie dann mit dem Firestore-Regelspielplatz oder automatisierten Integrationstests.

# Allgemeine Muster

Authentifizierter Zugang:

allow read: if request.auth != null;

• Nur Owner schreiben:**

allow write: if resource.data.userId == request.auth.uid;

Role-basierter Zugriff:

allow write: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.role == 'admin';