Come posso bloccare Firebase Database a qualsiasi utente da un dominio (email) specifico?

Question

Ho una piccola webapp Firebase personale che utilizza il database Firebase. Voglio proteggere (bloccare) questa app per qualsiasi utente da un singolo dominio specifico. Voglio autenticarsi con Google. Non sono chiaro come configurare le regole per dire "solo gli utenti di un singolo dominio specifico (ad esempio @foobar.com) possono leggere e scrivere su questo database".

(Parte del problema che vedo: è difficile eseguire il bootstrap di un database con informazioni sufficienti per far funzionare questo caso. Devo conoscere l'email dell'utente al momento dell'autenticazione, ma l'oggetto auth non contiene email Sembra essere un problema uovo di gallina, perché ho bisogno di scrivere le regole di Firebase che fanno riferimento ai dati nel database, ma quei dati non esistono ancora perché il mio utente non può scrivere nel database.)

Se l'email auth fosse stata inviata, potrei scrivere facilmente le regole.

Grazie in anticipo!

Answer 1

Se si sta utilizzando il nuovo Firebase, questo è ora possibile, dal momento che lo email è disponibile nelle regole di sicurezza.

Nelle regole di sicurezza è possibile accedere sia all'indirizzo email sia alla sua verifica, il che rende possibili grandi casi d'uso. Con queste regole, ad esempio solo, l'utente gmail verificato autenticato può scrivere il loro profilo:

{ 
    "rules": { 
    ".read": "auth != null", 
    "gmailUsers": { 
     "$uid": { 
     ".write": "auth.token.email_verified == true && 
        auth.token.email.matches(/.*@gmail.com$/)" 
     } 
    } 
    } 
} 

È possibile inserire queste regole nel Firebase Database console del vostro progetto.

Answer 2

ATTENZIONE: non fidatevi di questa risposta. Sono qui solo per la discussione.

tldr: Non penso sia possibile, senza eseguire il proprio server.

Ecco il mio tentativo finora:

{ 
    "rules": { 
    ".read": "auth.provider === 'google' && root.child('users').child(auth.uid).child('email').val().endsWith('@foobar.com')", 
    ".write": "auth.provider === 'google' && root.child('users').child(auth.uid).child('email').val().endsWith('@foobar.com')", 
    "users": { 
     "$user_id": { 
     ".write": "auth.provider === 'google' && $user_id === auth.uid && newData.child('email').val().endsWith('@foobar.com')" 
     } 
    } 
    } 
} 

Credo che quanto sopra scritto "permettono solo alle persone di creare un nuovo utente se sono autenticati da Google, sta tentando di scrivere nel nodo database per themselve ($user_id === auth.uid) e la loro posta elettronica termina su foobar.com ".

Tuttavia, è stato rilevato un problema: qualsiasi client Web può facilmente modificare la propria posta elettronica (utilizzando la console di sviluppo) prima che il messaggio venga inviato a Firebase. Quindi non possiamo fidarci dei dati della voce dell'utente quando vengono archiviati in Firebase.

Penso che l'unica cosa di cui ci possiamo fidare è l'oggetto auth nelle regole. L'oggetto auth viene popolato dal back-end di Firebase. E, sfortunatamente, l'oggetto auth non include l'indirizzo email.

Per la cronaca, sto inserendo il mio utente in questo modo:

function authDataCallback(authData) { 
    if (authData) { 
    console.log("User " + authData.uid + " is logged in with " + authData.provider + " and has displayName " + authData.google.displayName); 
    // save the user's profile into the database so we can list users, 
    // use them in Security and Firebase Rules, and show profiles 
    ref.child("users").child(authData.uid).set({ 
     provider: authData.provider, 
     name: getName(authData), 
     email: authData.google.email 
    }); 

Come si può essere in grado di immaginare, un utente determinato potrebbe sovrascrivere il valore di email qui (utilizzando i DevTools, per gli esempi) .

Answer 3

Ecco il codice che funziona bene con il mio database, ho impostato la regola che solo le email della mia azienda possono leggere e scrivere i dati del mio database Firebase.

{ 
    "rules": { 
    ".read": "auth.token.email.matches(/.*@yourcompany.com$/)", 


     ".write": "auth.token.email.matches(/.*@yourcompany.com$/)" 
     } 
    } 

Answer 4

Codice che funziona per me.

export class AuthenticationService { 

    user: Observable<firebase.User>; 

    constructor(public afAuth: AngularFireAuth) { 
     this.user = afAuth.authState; 
    } 

    login(){ 
     var provider = new firebase.auth.GoogleAuthProvider(); 
     provider.setCustomParameters({'hd': '<your domain>'}); 
     this.afAuth.auth.signInWithPopup(provider) 
     .then(response => { 
      let token = response.credential.accessToken; 
      //Your code. Token is now available. 
     }) 
    } 
}