[Firebase] 보안 규칙에 대해 간단히 알아보기 - 1

안녕하세요 Foma 입니다!

 

오늘 알아볼건 파이어베이스 보안 규칙에 대한 것입니다.

 

요즘 파이어베이스에서 보안 규칙을 업데이트 하라고  이런 알림 도 오고

 

 

또 오랫동안 사용하지 않은 프로젝트를 오랜만에 들어갔더니 아래와 같은 permissions에 대한 에러도 뜨고...

 

 

그래서 안되겠다 싶어서 제대로 알아보고 규칙을 적용하기 위해 이 글을 정리해봅니다.

 

---

Firebase 보안 규칙

 

우선 파이어베이스 보안 규칙을 쓰면 뭐가 좋을까요?🤔

 

 

파이어베이스 공식 문서에는 아래와 같이 나와있어요.

 

"Firebase 보안 규칙을 사용하면 저장된 데이터에 대한 액세스를 제어할 수 있습니다. 유연한 규칙 구문을 사용하면 전체 데이터베이스에 대한 모든 쓰기 작업부터 특정 문서에 대한 작업까지 어떠한 상황에 맞는 규칙이라도 작성할 수 있습니다."

 

한마디로 데이터를 누가 함부로 조작하지 못하게 하고 상황에 맞게 제어할 수 있게끔 하는 것이죠! 😎

 

아래와 같이 파이어베이스 콘솔로 이동하셔 파이어스토의 규칙탭을 확인해보시면 규칙을 수정할 수가 있습니다.

 

(Firestore 기준으로 규칙등를 설명드릴게요!)

---

어떤 규칙들이 있을까요? 🧐

 

 

• 잠금 모드

 

가장 먼저 잠금 모드가 있습니다.

 

코드가 쓰여있는 가장 아랫줄인 allow read,write:if false; 라고 쓰여있죠?

 

이건 모든 읽기 및 쓰기를 허용하지 않는다는 의미입니다.

 

가끔 파이어스토어에 데이터가 읽기나 쓰기가 안된다면 이러한 상태일 경우가 많을거에요!

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if false;
    }
  }
}

---

• 허용 모드(테스트 모드)

 

만약 앱을 만드는 단계이거나 그냥 테스트만 할 용도라면

 

잠금 모드랑 반대로 모두한테 허용할 수도 있어야겠죠?

 

바로 이렇게 allow read,write: 에서 true만 바꿔주시면 됩니다.

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

---

• 인증된 사용자에게만 허용하기

 

허용 모드도 좋지만 혹시 모를 악의적인 사람이 있을 수 있잖아요? (해킹을 한다거나.....)

 

그런 사람들을 위해서 파이어베이스에선 아주 좋은 환경을 제공해요.

 

바로 인증된 사용자에게만 데이터를 읽고 쓰는 것을 허용하는 것이죠!

 

(로그인한 유저를 알아야하기 때문에 이것은 파이어베이스 authentification 기능도 사용해야 합니다.)

 

이렇게 작성하면 로그인한 유저가 파이어베이스에 인증된  유저인지 확인하고 데이터 수정을 허용하는 것이죠.

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
  }
}

---

• 컨텐츠 소유자에게만 허용하기

 

만약 블로그 앱이 있고 어떤 사람이 글을 수정하려고 합니다.

 

하지만 이 글은 글을 쓴 주인만 수정되게 해야겠죠?

 

고로 이 규칙을 이용해 컨텐츠 소유자인지 확인하고 소유자가 맞다면 데이터 수정을 허용하는 것입니다.

service cloud.firestore {
  match /databases/{database}/documents {
    // Allow only authenticated content owners access
    match /some_collection/{userId}/{documents=**} {
      allow read, write: if request.auth != null && request.auth.uid == userId
    }
  }
}

---

• 공개 또는 비공개 설정하기

 

위에서와 같이 만약 블로그 앱이라면 비공개 글인지 공개글인지 확인하고

 

이것을 모든 사용자가 읽게 할 수 있거나 없게 설정해야하고,

 

또한 읽을 수는 있지만 쓰는 것을 블로그 주인만 해야겠죠?

 

아래와 같이 원하는 Collection과 Document 주소를 적고 allow read: if true 로 모든 읽기는 허용하지만

 

글을 생성하거나 수정 또는 삭제는 해당 글 주인만 허용하도록 하는 것입니다.

service cloud.firestore {
  match /databases/{database}/documents {
    // Allow public read access, but only content owners can write
    match /some_collection/{document} {
      allow read: if true
      allow create: if request.auth.uid == request.resource.data.author_uid;
      allow update, delete: if request.auth.uid == resource.data.author_uid;
    }
  }
}

---

• 역할 지정하기

 

만약 팀블로그를 운영한다면 안에 여러 주인이 있을것입니다.

 

이렇게 되면 여러명한테 관리자 역할을 주어야겠죠?

 

아래와 같이 원하는 데이터베이스 주소를 적고 역할을 여러명에게 지정할 수 있습니다.

 

service cloud.firestore {
  match /databases/{database}/documents {
    // For attribute-based access control, Check a boolean `admin` attribute
    allow write: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.admin == true;
    allow read: true;

    // Alterntatively, for role-based access, assign specific roles to users
    match /some_collection/{document} {
     allow read: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.role == "Reader"
     allow write: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.role == "Writer"
   }
  }
}

---

오늘은 이렇게 파이어베이스 보안 규칙에 대해 간단하게 알아보았는데요.

 

다음 글은 파이어베이스 보안 규칙을 어떻게 활용해야 하는지 구체적인 예시로 포스팅하도록 하겠습니다.

 

혹시라도 틀린 부분이 있거나 지적하실 부분이 있다면 언제든 댓글로 달아주세요.

---

Reference

 

기본 보안 규칙  |  Firebase