firebase.rules

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {

    match /users/{userId} {
      // La lecture est publique pour permettre l'affichage du classement (scoreboard) 
      // et le rendu côté serveur (SSR).
      allow read: if true;
      
      // Les règles d'écriture restent sécurisées : un utilisateur ne peut PAS changer son score ou son rôle.
      allow create: if request.auth != null 
                    && request.auth.uid == userId
                    && !('role' in request.resource.data)
                    && !('score' in request.resource.data);

      allow update: if request.auth != null 
                    && request.auth.uid == userId
                    && request.resource.data.role == resource.data.role
                    && request.resource.data.score == resource.data.score;
      
      allow delete: if false;
    }

    // La lecture des CTFs et Challenges est publique pour que le rendu côté serveur fonctionne.
    match /ctfs/{ctfId} {
      allow read: if true;
      allow create, update, delete: if isAdmin();
    }

    match /challenges/{challengeId} {
      allow read: if true;
      allow create, update, delete: if isAdmin();
    }

    match /submissions/{submissionId} {
      allow create: if request.auth != null && request.auth.uid == request.resource.data.userId;
      allow read: if isAdmin();
      allow update, delete: if false;
    }

    match /solves/{solveId} {
      allow read: if isAdmin() || (request.auth != null && request.auth.uid == resource.data.userId);
      allow create: if isAdmin() || (request.auth != null && request.auth.uid == request.resource.data.userId);
      allow update, delete: if false;
    }

    function isAdmin() {
      return request.auth != null && get(/databases/$(database)/documents/users/$(request.auth.uid)).data.role == 'admin';
    }
  }
}