firestore.rules

rules_version = '2';

// DeutschOcean — Firestore Security Rules
//
// Datenmodell:
// - users/{uid}                — Profil des angemeldeten Users (Gast oder mit Account)
// - posts/{postId}             — Blog-Posts (öffentlich lesbar, nur Admin schreibt)
//
// Prinzip: Jeder User kann nur SEINE eigenen Daten lesen/schreiben. Admins
// (per E-Mail-Match) dürfen alle User-Daten lesen — aber nie schreiben.
// Blog-Posts sind öffentlich, nur Admin beschreibbar.
//
// ⚠️ Admin-E-Mails müssen in `src/lib/admins.js` UND hier identisch gepflegt werden.

service cloud.firestore {
  match /databases/{database}/documents {

    // ── Helper: ist der Request-User Admin? ─────────────────────────────
    function isAdmin() {
      return request.auth != null
        && request.auth.token.email != null
        && request.auth.token.email in [
          'dadakaev10@gmail.com'
        ];
    }

    // ── User-Profile ─────────────────────────────────────────────────────
    match /users/{uid} {
      // Lesen: eigenes Profil ODER Admin
      allow read: if request.auth != null
                  && (request.auth.uid == uid || isAdmin());

      // List (collection query): nur Admin
      allow list: if isAdmin();

      // Create: beim Anlegen muss uid mit auth.uid übereinstimmen
      allow create: if request.auth != null
                    && request.auth.uid == uid
                    && request.resource.data.uid == uid;

      // Update: nur eigenes Profil, keine uid-Änderung erlaubt
      allow update: if request.auth != null
                    && request.auth.uid == uid
                    && request.resource.data.uid == uid;

      // Delete: User darf sein eigenes Konto löschen
      allow delete: if request.auth != null && request.auth.uid == uid;
    }

    // ── Blog-Posts ───────────────────────────────────────────────────────
    match /posts/{postId} {
      // Öffentlich lesbar (auch ohne Login)
      allow read: if true;

      // Nur Admins dürfen schreiben
      allow write: if isAdmin();
    }

    // ── Fallback: alles andere verbieten ──────────────────────────────────
    match /{document=**} {
      allow read, write: if false;
    }
  }
}