Özel İddialar ve Güvenlik Kuralları
Kullanıcılar için özel iddialar tanımlayın ve kaynaklara erişimi denetlemek üzere bunları Firebase Güvenlik Kuralları ile entegre edin
Özel İddialar ve Güvenlik Kuralları, CoddyKit'te ücretsiz bir Firebase Auth & Realtime Database Apps dersidir. Bu, 4 dersinin 3. dersidir. Aşağıdan dersin tamamını ücretsiz okuyabilir, sonra tarayıcıda yerleşik kod editörü ve 7/24 yapay zeka koçu ile uygulamalı olarak pratik yapabilirsin. Bu, Firebase Auth & Realtime Database Apps öğrenme yolunun bir parçasıdır ve ilerlemeniz web ve CoddyKit uygulaması arasında senkronize olur. Firebase Auth & Realtime Database Apps kursu toplamda 4 dersten oluşur.
Bu dersin bazı bölümleri henüz çevrilmemiş olup İngilizce olarak gösterilmektedir.
Intro to Custom Claims
Beyond basic user authentication, Firebase allows you to define Custom Claims. These are key-value pairs that you can add to a user's ID token, providing extra information about the user.
Think of them as custom labels or badges attached to a user's identity.
Why Use Custom Claims?
Custom claims are powerful for implementing role-based access control (RBAC) or granting specific permissions within your app. Instead of just knowing 'who' the user is, you can know 'what' they are allowed to do.
- Designate users as 'admin', 'editor', or 'subscriber'.
- Grant access to premium features or content.
- Control data access based on custom attributes.
Setting Claims (Server-Side)
Custom claims are sensitive and must be set by a trusted environment, like your backend server, using the Firebase Admin SDK. This prevents malicious users from giving themselves elevated privileges.
When claims are set, the user's ID token is updated. Clients need to refresh their token to receive the new claims.
Simulating Claim Setting
This conceptual example shows how claims work. On a real backend, the Admin SDK would update a user's profile, and these claims would then be available in their ID token.
import java.util.HashMap;
import java.util.Map;
public class Main {
public static void main(String[] args) {
String userId = "user123";
Map<String, Object> claims = new HashMap<>();
// --- Server-side action (simulated) ---
System.out.println("Server sets claims for " + userId);
claims.put("role", "admin");
claims.put("level", "premium");
// --- Client-side action (simulated after token refresh) ---
System.out.println("\nClient receives ID token with claims:");
System.out.println("User ID: " + userId);
System.out.println("Claims: " + claims);
// Client checks for specific claim
if (claims.containsKey("role") && claims.get("role").equals("admin")) {
System.out.println("Access check: User is an admin.");
} else {
System.out.println("Access check: Not an admin.");
}
}
}Accessing Claims (Client-Side)
Once a user is logged in and their ID token is refreshed (e.g., after login or explicitly refreshing), your client-side application can read these custom claims from the token.
The claims are embedded within the ID token, which is a JWT (JSON Web Token).
How Claims Power Rules
The true power of custom claims comes when you combine them with Firebase Security Rules. Any custom claim you set on a user's ID token is automatically available within your security rules.
This allows you to create highly specific and dynamic access control logic for your Realtime Database or Cloud Firestore.
Rule Example: Admin Access
Here's how a Firebase Realtime Database Security Rule might use a custom admin: true claim to restrict access to a specific data path.
Only users with this claim in their token would be able to read or write to /adminContent.
{
"rules": {
"adminContent": {
// Only users with 'admin: true' claim can read/write
".read": "auth.token.admin === true",
".write": "auth.token.admin === true"
},
"publicContent": {
// Anyone authenticated can read, no special claims needed
".read": "auth != null",
".write": "false"
}
}
}Rule Example: Premium Content
You can also use claims for different levels of access. This rule grants read access to /premiumContent only if the user has a level: 'premium' claim.
This is much more flexible than just checking if a user is logged in.
{
"rules": {
"premiumContent": {
// Only users with 'level: premium' claim can read
".read": "auth.token.level === 'premium'",
".write": "false"
},
"users": {
"$uid": {
".read": "auth.uid === $uid",
".write": "auth.uid === $uid"
}
}
}
}Best Practices for Claims
To ensure efficient and secure use of custom claims:
- Keep claims small: ID tokens have size limits.
- Don't store sensitive data: Claims are base64 encoded, not encrypted.
- Use for authorization: Not for general data storage.
- Token refresh: Remind users to refresh their ID token if claims change.
Claims Quiz
You've learned how custom claims enhance user roles and security rules. Which statement accurately describes a key aspect of Firebase Custom Claims?
Recap: Custom Claims & Rules
This lesson covered Firebase Custom Claims, a powerful feature for advanced user management.
- Custom claims allow you to add custom attributes to user ID tokens.
- They are set securely using the Firebase Admin SDK on your backend.
- These claims are seamlessly integrated with Firebase Security Rules, enabling robust, role-based access control for your app's resources.
- Always remember to refresh the client's ID token for changes to take effect.
Sıkça Sorulan Sorular
“Özel İddialar ve Güvenlik Kuralları” dersi ücretsiz mi?
Evet — “Özel İddialar ve Güvenlik Kuralları” dersin tüm metni burada web'de ücretsiz olarak okunabilir. Etkileşimli olarak pratik yapmak (yerleşik kod editörü ve 7/24 yapay zeka koçu) ve Firebase Auth & Realtime Database Apps kursunun geri kalanını açmak için CoddyKit PRO'ya yükselt. Firebase Auth & Realtime Database Apps kursu toplamda 4 dersten oluşur.
“Özel İddialar ve Güvenlik Kuralları” dersinde ne öğreneceğim?
Kullanıcılar için özel iddialar tanımlayın ve kaynaklara erişimi denetlemek üzere bunları Firebase Güvenlik Kuralları ile entegre edin Firebase Auth & Realtime Database Apps ile uygulamalı kodu tarayıcıda doğrudan çalıştırarak pratik yaparsın ve 7/24 yapay zeka koçu dersi çalışırken sorularını yanıtlar.
Firebase Auth & Realtime Database Apps öğrenmeye başlamak için deneyim gerekli mi?
Önceden deneyim gerekmez. CoddyKit'te Firebase Auth & Realtime Database Apps, başlangıçtan ileri seviyeye kadar yapılandırıldığı için buradan başlayabilir veya başından başlayıp kendi hızında ilerleme yapabilirsin. Bu, 4 dersinin 3. dersidir.
“Özel İddialar ve Güvenlik Kuralları” dersi ne kadar sürer?
Çoğu CoddyKit dersi yaklaşık 5–10 dakika sürer. Her biri kısa ve etkileşimli olduğu için sabit ilerleme yaparsın ve web ile uygulama arasında tam olarak bıraktığın yerden devam edebilirsin.
Bu Firebase Auth & Realtime Database Apps dersinde kod yazıp çalıştırabilir miyim?
Evet. Her Firebase Auth & Realtime Database Apps dersi yerleşik bir kod editörü içerir, bu sayede tarayıcıda gerçek kod yazıp çalıştırabilir ve anlık yapay zeka geri bildirimi alırsın — yerel kurulum gerekli değildir.
Bu kursun tüm dersleri
- Telefon Numarasıyla Kimlik Doğrulama
- Çok Faktörlü Kimlik Doğrulama (MFA)
- Özel İddialar ve Güvenlik Kuralları
- Hesapları Bağlama ve Sağlayıcı Yönetimi