セキュリティルールを使ってみる

Firestore セキュリティルールを使用すると、インフラストラクチャを管理したり、サーバー側の認証コードや承認コードを作成したりする必要がなくなるため、デベロッパーは優れたユーザーエクスペリエンスを構築することだけに集中できます。

セキュリティルールは、シンプルでありながら高度な処理にも対応できる形式で、アクセス制御とデータ検証を提供します。ユーザーデータの安全性を維持するユーザーベースおよびロールベースのアクセスシステムを構築するには、Firestore セキュリティルールを適用した Firebase Authentication を使用してください。

セキュリティルールバージョン 2

2019 年 5 月に、Firestore セキュリティルールのバージョン 2 が使用できるようになりました。バージョン 2 のルールは、再帰的なワイルドカード {name=**} の動作を変更します。コレクショングループクエリを使用する場合は、バージョン 2 を使用する必要があります。セキュリティルールで rules_version = '2'; を最初の行にして、バージョン 2 にオプトインする必要があります。

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {

ルールの記述

デフォルトのデータベースとプロジェクト内の追加の各データベース用に作成するデータモデルに合わせて Firestore セキュリティルールを作成し、管理します。

すべての Firestore セキュリティルールは、データベース内のドキュメントを識別する match ステートメントと、それらのドキュメントへのアクセスを制御する allow 式で構成されています。

service cloud.firestore {
  match /databases/{database}/documents {
    match /<some_path>/ {
      allow read, write: if <some_condition>;
    }
  }
}

Firestore のモバイル / ウェブクライアントライブラリから送られたすべてのデータベースリクエストは、データの読み取りまたは書き込みの前に、セキュリティルールと照合して評価されます。指定されたいずれかのドキュメントパスへのアクセスがルールによって拒否されると、リクエスト全体が失敗します。

基本的なルールセットの例を以下に示します。これらのルール自体は有効ですが、本番環境アプリケーションでの使用は推奨されません。

認証必須

// Allow read/write access on all documents to any user signed in to the application
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
  }
}

すべて拒否

// Deny read/write access to all users under any conditions
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if false;
    }
  }
}

すべて許可

// Allow read/write access to all users under any conditions
// Warning: **NEVER** use this rule set in production; it allows
// anyone to overwrite your entire database.
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

上記の例で使用されている {document=**} パスは、データベース全体の任意のドキュメントに一致します。特定のデータパスを照合し、階層データに対応する方法については、セキュリティルールの構造化に関するガイドをご覧ください。

ルールのテスト

Firestore には、ルールセットのテストに使用できるルールシミュレータが用意されています。このシミュレータには、Firebase コンソールの Firestore セクションにある [ルール] タブからアクセスできます。

ルールシミュレータを使用すると、読み取り、書き込み、削除について、それぞれ認証済みと未認証の動作をシミュレートできます。認証済みリクエストをシミュレートする場合は、さまざまなプロバイダから認証トークンを作成してプレビューすることができます。シミュレートされるリクエストは、現在デプロイされているルールセットではなく、エディタ内のルールセットと照らし合わせて実行されます。

ルールのデプロイ

モバイルアプリから Firestore を使用するには、セキュリティルールをデプロイしておく必要があります。ルールは、Firebase コンソールで、Firebase CLI、または Firestore 管理 REST API を使用してデプロイできます。

Firestore セキュリティルールの更新が新しいクエリやリスナーに適用されるまでに、最大 1 分かかることがあります。ただし、変更内容が完全に伝播され、アクティブなすべてのリスナーに影響が及ぶまでに最大 10 分かかります。

Firebase コンソールを使用する

最初のルールセットを設定してデプロイするには、プロジェクト内のデフォルトデータベースに対して、Firebase コンソールの Firestore セクションにある [ルール] タブを開きます。

オンラインエディタでルールを作成したら、[公開] をクリックします。

Firebase CLI を使用する

ルールは、Firebase CLI を使用してデプロイすることもできます。CLI を使用すると、アプリケーションコードを使用して各ルールのバージョンを管理し、既存のデプロイプロセスの一部としてルールをデプロイすることができます。

// Set up Firestore in your project directory, creates a .rules file
firebase init firestore

// Edit the generated .rules file to your desired security rules
// ...

// Deploy rules for all configured databases
firebase deploy --only firestore