rules_version = '2'; // ══════════════════════════════════════════════════════ // BHS Gestion Technique — Règles Firestore v9.1 // L2 FIX : règles complètes avec contrôle par rôle côté serveur // Déployer via : firebase deploy --only firestore:rules // ══════════════════════════════════════════════════════ service cloud.firestore { match /databases/{database}/documents { // ── Helpers ────────────────────────────────────── function isAuth() { return request.auth != null; } function userDoc() { return get(/databases/$(database)/documents/users/$(request.auth.uid)).data; } function hasRole(role) { return isAuth() && userDoc().role == role; } function isAdmin() { return hasRole('admin'); } function isSupervisor() { return hasRole('supervisor'); } function isTech() { return hasRole('tech'); } function canWrite() { return isAdmin() || isSupervisor() || isTech(); } function canDelete() { return isAdmin(); } // ── Données métier (bhs_*) ─────────────────────── match /bhs_{coll}/{docId} { allow read: if isAuth(); allow create: if canWrite(); allow update: if canWrite(); allow delete: if canDelete(); } // ── Compteurs et métadonnées ───────────────────── match /bhs_meta/{docId} { allow read: if isAuth(); allow write: if canWrite(); } // ── Historique ─────────────────────────────────── match /bhs_history/{docId} { allow read: if isAuth(); allow create: if canWrite(); allow update, delete: if isAdmin(); } // ── Activité ───────────────────────────────────── match /bhs_activity/{docId} { allow read: if isAuth(); allow create: if canWrite(); allow delete: if isAdmin(); } // ── Gestion utilisateurs ───────────────────────── match /users/{userId} { // Chaque user peut lire son propre profil ; admins lisent tous allow read: if isAuth() && (request.auth.uid == userId || isAdmin()); // Chaque user peut mettre à jour son propre profil (nom, préférences) allow update: if isAuth() && (request.auth.uid == userId || isAdmin()) && // Seul l'admin peut changer le rôle (!request.resource.data.diff(resource.data).affectedKeys().hasAny(['role']) || isAdmin()); allow create: if isAuth(); allow delete: if isAdmin(); } } }