Cloud Firestoreのruleで`update`の条件を書く時に気をつけたいこと - Qiita

久々にfirestore.rulesのことで記事を書きたいなと思い、 今回はfirestore.rulesでupdateの条件に焦点を当てて、書く時に気をつけたいことを書いてみます。 何に気をつけるべきか もちろん、「どのユーザーがupdateを実行できるか」を制御するのも大事です。（制御しないと他者が勝手に更新をして悪意ある情報に書き換え可能ですよね。） それともう一つ大事なのが、「どのフィールドは書き換え不可なのか」です。 「適切な権限を持つユーザーがupdateを実行できる状態」イコール、「更新によって適切なデータに更新される」にはならない場合があります。 次のようなドキュメントを例にして説明してみます。 postという、記事を表すドキュメントで、タイトル、内容、作成者、作成日、更新日の情報を持っています。 作成時(create)には全ての情報が書き込まれ、書き込みを行うユーザーの、

[k2wanko]

データの操作には権限、スキーム、ロジックの検証が必要でセキュリティルールだけでそれを全部表現するから複雑になりやすいと思う。読みやすいセキュリティルールを書くことも大事だろうなー。