Guía de permisos de sincronización de dispositivos

Habilitar y configurar datos de usuario personalizados

Atlas App Services almacena documentos MongoDB correspondientes a datos de usuario personalizados en un clúster de MongoDB Atlas vinculado. Al configurar datos de usuario personalizados para su aplicación, especifique el clúster, la base de datos, la colección y, finalmente, un campo de ID de usuario, que asigna un documento de datos de usuario personalizado al ID de un usuario autenticado.

Para habilitar datos de usuario personalizados en la interfaz de usuario de App Services, siga estos pasos:

1. Haga clic en App Users en el panel de la izquierda.

2. Seleccione la pestaña User Settings y busque la sección Custom User Data.

3. Establece el interruptor Enable Custom User Data en On.

4. Especifique los siguientes valores:

   • Cluster Name:El nombre de un clúster MongoDB vinculado que contendrá la base de datos de datos de usuario personalizada.

   • Database Name:El nombre de la base de datos MongoDB que contendrá la recopilación de datos de usuario personalizados.

   • Collection Name: El nombre de la colección de MongoDB que contendrá los datos personalizados del usuario.

5. Especifique el campo ID de usuario. Cada documento de la colección de datos de usuario personalizada debe tener un campo asignado a un usuario específico. Este campo debe estar presente en todos los documentos asignados a un usuario y debe contener el ID del usuario como una cadena. Recomendamos usar el _id campo estándar para almacenar el ID de usuario. MongoDB aplica automáticamente una restricción al _id campo para garantizar la unicidad.

   Nota

   Si dos documentos de esta colección contienen el mismo valor de ID de usuario, App Services utiliza el primer documento que coincide, lo que genera resultados inesperados.

6. Guarda e implementa los cambios.

   Nota

   Reiniciar la sesión de sincronización después de actualizar los datos de usuario personalizados

   El servidor de sincronización almacena en caché los datos de usuario personalizados durante la sesión. Por lo tanto, debe reiniciar la sesión de sincronización después de actualizar los datos de usuario personalizados para evitar un error de escritura compensatorio. Para reiniciar la sesión de sincronización, pause y reanude todas las sesiones de sincronización abiertas en la aplicación cliente. Para obtener más información sobre cómo pausar y reanudar la sincronización desde los SDK del cliente, consulte su SDK preferido:

   • Pausar o reanudar una sesión de sincronización de dispositivos - Flutter SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - SDK de Kotlin

   • Pausar o reanudar una sesión de sincronización de dispositivos - SDK de Java

   • Pausar o reanudar una sesión de sincronización de dispositivos - .Net SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - Node SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - React Native SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - Swift SDK

Configurar privilegios de administrador

Una vez habilitados los datos de usuario personalizados, puede implementar la estrategia de privilegios de administrador. Para ello, siga estos pasos generales:

1. Inicie sesión en la interfaz de usuario de Realm y haga clic en Sync en el panel de la izquierda.

2. En Sync Type, seleccione Flexible.

3. Establezca el interruptor para habilitar Development Mode.

4. Seleccione el clúster que desea sincronizar.

5. Define a Database Name: Selecciona +Add a new database y escribe un nombre para la base de datos que Realm usará para almacenar tus objetos sincronizados. Puedes ponerle el nombre que quieras. Una estrategia común sería nombrar la base de datos como la aplicación que estás creando.

6. Select Queryable Fields: escribe en owner_id. Esto permite que tus expresiones de permisos (que configurarás a continuación) utilicen los campos denominados owner_id.

7. Omita Advanced Configuration y luego haga clic en Save Changes para habilitar la sincronización.

Ahora debe configurar los permisos. Vaya a la página Rules. Haga clic en el botón Default Roles and Filters para editar los roles predeterminados. Utilice el menú desplegable de plantillas para seleccionar la plantilla "Los usuarios pueden leer y escribir sus propios datos, los administradores pueden leer y escribir todos los datos".

Esto llena el cuadro de expresión de reglas con lo siguiente:

[
   {
     "name": "admin",
     "apply_when": {
       "%%user.custom_data.isGlobalAdmin": true
     },
     "document_filters": {
       "read": true,
       "write": true
     },
     "read": true,
     "write": true
   },
   {
     "name": "user",
     "apply_when": {},
     "document_filters": {
       "read": { "owner_id": "%%user.id" },
       "write": { "owner_id": "%%user.id" }
     },
     "read": true,
     "write": true
   }
]

Habilitar y configurar datos de usuario personalizados

Para habilitar datos de usuario personalizados en la interfaz de usuario de App Services, siga estos pasos:

1. Haga clic en App Users en el panel de la izquierda.

2. Seleccione la pestaña User Settings y busque la sección Custom User Data.

3. Establece el interruptor Enable Custom User Data en On.

4. Especifique los siguientes valores:

   • Cluster Name:El nombre de un clúster MongoDB vinculado que contendrá la base de datos de datos de usuario personalizada.

   • Database Name:El nombre de la base de datos MongoDB que contendrá la recopilación de datos de usuario personalizados.

   • Collection Name: El nombre de la colección de MongoDB que contendrá los datos personalizados del usuario.

5. Especifique el campo ID de usuario. Cada documento de la colección de datos de usuario personalizada debe tener un campo asignado a un usuario específico. Este campo debe estar presente en todos los documentos asignados a un usuario y debe contener el ID del usuario como una cadena. Recomendamos usar el _id campo estándar para almacenar el ID de usuario. MongoDB aplica automáticamente una restricción al _id campo para garantizar la unicidad.

   Nota

   Si dos documentos de esta colección contienen el mismo valor de ID de usuario, App Services utiliza el primer documento que coincide, lo que genera resultados inesperados.

6. Guarda e implementa los cambios.

   Nota

   Reiniciar la sesión de sincronización después de actualizar los datos de usuario personalizados

   El servidor de sincronización almacena en caché los datos de usuario personalizados durante la sesión. Por lo tanto, debe reiniciar la sesión de sincronización después de actualizar los datos de usuario personalizados para evitar un error de escritura compensatorio. Para reiniciar la sesión de sincronización, pause y reanude todas las sesiones de sincronización abiertas en la aplicación cliente. Para obtener más información sobre cómo pausar y reanudar la sincronización desde los SDK del cliente, consulte su SDK preferido:

   • Pausar o reanudar una sesión de sincronización de dispositivos - Flutter SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - SDK de Kotlin

   • Pausar o reanudar una sesión de sincronización de dispositivos - SDK de Java

   • Pausar o reanudar una sesión de sincronización de dispositivos - .Net SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - Node SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - React Native SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - Swift SDK

Crear una función de activación de autenticación

Necesitamos crear una función de activación de autenticación que genere un objeto de usuario personalizado cuando un usuario se autentica por primera vez. Para ello, siga estos pasos:

1. Inicie sesión en la interfaz de usuario de Realm y haga clic en Triggers en el panel de la izquierda.

2. Haga clic en el botón Add a Trigger.

3. Establece el interruptor Trigger Type en Authentication.

4. En Detalles del activador, especifica los siguientes valores:

   • Name: "onUserCreated"

   • Enbaled: interruptor para activar la opción "On"

   • Action Type:Seleccione "Crear"

   • Provider(s): Seleccione "Correo electrónico/Contraseña" o el proveedor de autenticación que esté utilizando.

   • Select an Event Type:Seleccione "Función"

   • Function:Seleccione "+Nueva función" y luego:

     • Function Name: "onUserCreated"

     • Function:Reemplace el texto del marcador de posición con la siguiente función:

     exports = function(authEvent) {
         const user = authEvent.user;
         const collection = context.services.get("mongodb-atlas").db("Item").collection("User");
         const newDoc = {
           _id: user.id,
           email: user.data.email, // Useful for looking up user IDs by email later - assuming email/password auth is used
           team: "", // Used for tiered privileges
           isTeamAdmin: false, // Used for tiered privileges
           isGlobalAdmin: false, // Used for admin privileges
           subscribedTo: [], // Used for restricted feed
         };
         return collection.insertOne(newDoc);
     };

Configurar permisos restringidos

En el objeto de datos de usuario personalizados, crea un arreglo que contenga los valores _id de cada autor que el usuario sigue. En este ejemplo, lo llamaremos "suscripciones". Nuestro objeto de datos de usuario se parece a lo siguiente, donde Lily Realmster ("_id": "1234") está suscrita a todos los documentos escritos por los usuarios "456" y "789":

{
   "_id" : "1234",
   "firstName": "Lily",
   "lastName": "Realmster",
   "user.custom_data.subscribedTo": [
     "456",
     "789"
   ]
}

Ahora puede implementar la estrategia de privilegios restringidos. Para ello, siga estos pasos generales:

1. Inicie sesión en la interfaz de usuario de Realm y haga clic en Sync en el panel de la izquierda.

2. En Sync Type, seleccione Flexible.

3. Establezca el interruptor para habilitar Development Mode.

4. Seleccione el clúster que desea sincronizar.

5. Define a Database Name: Selecciona +Add a new database y escribe un nombre para la base de datos que Realm usará para almacenar tus objetos sincronizados. Puedes ponerle el nombre que quieras. Una estrategia común sería nombrar la base de datos como la aplicación que estás creando.

6. Select Queryable Fields: escribe en owner_id. Esto permite que tus expresiones de permisos (que configurarás a continuación) utilicen los campos denominados owner_id.

7. Omita Advanced Configuration y luego haga clic en Save Changes para habilitar la sincronización.

Ahora debe configurar los permisos. Vaya a la Rules página.Default Roles and Filters Haga clic en el botón para editar los roles predeterminados. Utilice el menú desplegable de plantillas para seleccionar la plantilla "Los usuarios solo pueden leer y escribir sus propios datos". Esto rellena el cuadro de expresión de la regla con lo siguiente, que no es exactamente lo que buscamos, pero nos proporciona la mayor parte de la lógica:

{
  "name": "owner-read-write",
  "apply_when": {},
  "document_filters": {
    "read": { "owner_id": "%%user.id" },
    "write": { "owner_id": "%%user.id" }
  },
  "read": true,
  "write": true
}

Tenga en cuenta que actualmente un usuario solo puede leer sus propios documentos ("read": {"owner_id": "%%user.id"}). Podemos modificar esto para incluir documentos cuyos autores tengan ID en la matriz "subscribedTo" del usuario. Para ello, usamos el operador $in. La expresión se ve así:

{
  "name": "owner-read-write",
  "apply_when": {},
  "document_filters": {
    "read": {
      "owner_id": {
        "$in": "%%user.custom_data.subscribedTo"
      }
    },
    "write": { "owner_id": "%%user.id" }
  },
  "read": true,
  "write": true
}

Actualice el cuadro de expresión de regla con esta nueva lógica y guarde los cambios.

Nota: Cambiamos la expresión document_filters.read para que solo se mencionen los autores en la matriz subscribedTo, pero los usuarios aún tienen acceso de lectura a sus propios documentos gracias a la expresión document_filters.read. Siempre que se concede acceso de escritura, se concede implícitamente el acceso de lectura.

Crear la función subscribeToUser

Necesitamos una función que suscriba a un usuario a otro. Nuestros permisos están configurados para considerar que un suscriptor está "suscrito" a un autor si el ID de usuario de este se encuentra en la matriz "subscribedTo" de datos de usuario personalizados del suscriptor. La función "subscribeToUser" toma la dirección de correo electrónico del usuario, busca el ID correspondiente en la colección de datos de usuario personalizados y lo añade a la matriz "subscribedTo" del usuario solicitante.

Ten en cuenta que esta función se ejecutará bajo la autenticación del Sistema y guarda en los datos de usuario personalizados. Cuando se utilizan datos personalizados de usuario para permisos, nunca se debe permitir a los clientes editar directamente los datos personalizados del usuario. De lo contrario, cualquier usuario podría otorgarse cualquier permiso. En su lugar, modifica los datos de usuario en el backend con una función del Sistema. La función debe realizar todas las comprobaciones necesarias para garantizar que la solicitud del usuario de permisos sea válida.

Para crear la función, siga estos pasos:

1. Inicie sesión en la interfaz de usuario de Realm y haga clic en Functions en el panel de la izquierda.

2. Haga clic en el botón Create New Function.

3. Especifique los siguientes valores:

   • Name: "suscribirse al usuario"

   • Authentication: "Sistema"

4. Cambia a la pestaña Function Editor y reemplaza el texto del marcador de posición con el siguiente código:

   exports = async function(email) {
     const collection = context.services.get("mongodb-atlas").db("Item").collection("User");
     // Look up the author object to get the user id from an email
     const author = await collection.findOne({email});
     if (author == null) {
       return {error: `Author ${email} not found`};
     }
     // Whoever called this function is the would-be subscriber
     const subscriber = context.user;
     try {
       return await collection.updateOne(
         {_id: subscriber.id},
         {$addToSet: {
             subscribedTo: author._id,
           }
         });
     } catch (error) {
       return {error: error.toString()};
     }
   };

Configurar permisos

Para implementar esta estrategia, siga estos pasos generales:

1. Inicie sesión en la interfaz de usuario de Realm y haga clic en Sync en el panel de la izquierda.

2. En Sync Type, seleccione Flexible.

3. Establezca el interruptor para habilitar Development Mode.

4. Seleccione el clúster que desea sincronizar.

5. Define a Database Name: Selecciona +Add a new database y escribe un nombre para la base de datos que Realm usará para almacenar tus objetos sincronizados. Puedes ponerle el nombre que quieras. Una estrategia común sería nombrar la base de datos como la aplicación que estás creando.

6. Select Queryable Fields: escribe en owner_id. Esto permite que tus expresiones de permisos (que configurarás a continuación) utilicen los campos denominados owner_id.

7. Omita Advanced Configuration y luego haga clic en Save Changes para habilitar la sincronización.

En el campo Select Queryable Fields, escribe también collaborators. Este será el campo que almacene los ID de usuarios que también pueden leer y guardar el documento.

Ahora debe configurar los permisos. En Define Permissions, utilice el menú desplegable de plantillas para seleccionar "Personalizado (empezar desde cero)". Pegue lo siguiente en el cuadro de expresión de la regla:

{
  "name": "collaborator",
  "apply_when": {},
  "document_filters": {
    "read": {
      "$or": [
        {
          "owner_id": "%%user.id"
        },
        {
          "collaborators": "%%user.id"
        }
      ]
    },
    "write": {
      "$or": [
        {
          "owner_id": "%%user.id"
        },
        {
          "collaborators": "%%user.id"
        }
      ]
    }
  },
  "read": true,
  "write": true
}

Las expresiones "write" y "read" son idénticas. Observe una de ellas. $or acepta un array de opciones. Tenemos dos posibles condiciones en las que un usuario puede escribir el documento:

• El campo owner_id del documento equivale al ID del usuario

• El campo de matriz collaborators del documento contiene el ID del usuario.

Generalmente, cuando a un usuario se le otorgan permisos de guardar, ese usuario automáticamente obtiene permisos de lectura. Sin embargo, no podemos omitir la expresión document_filters.read porque Servicios de aplicación requiere que tanto document_filters.read como document_filters.write estén definidos para que el rol sea compatible con sincronización.

Agregar un colaborador

Un usuario puede otorgar acceso de escritura a su documento a otro usuario añadiendo su ID al campo de matriz collaborators de su documento. Esto se puede hacer desde el cliente.

Seguridad

No recomendamos utilizar este modelo para datos altamente sensibles.

Este modelo utiliza el sistema de permisos para mantener la owner_id privacidad de los documentos entre el creador y los colaboradores que este agrega. Sin embargo, si un usuario tiene acceso de escritura a un documento, puede escribir en cualquier campo. Por lo tanto, esta estrategia permite que los colaboradores agreguen a otros colaboradores. También permitiría que un colaborador edite el campo. Los permisos a nivel de campo deben ser literales booleanos para la compatibilidad con la sincronización, por lo que no podemos limitar las escrituras en estos campos a usuarios específicos.

Búsqueda de usuarios

La forma exacta de obtener el ID de otro usuario depende de los detalles de tu aplicación. Por ejemplo, si un usuario desea agregar a otro usuario a un documento, podrías tener un cuadro de búsqueda que acepte una dirección de correo electrónico. Si la dirección de correo electrónico proporcionada corresponde a otro usuario, el cliente puede agregar el ID de ese usuario a la matriz collaborators del documento.

Realm no tiene una forma integrada de buscar usuarios. Generalmente, el proceso de búsqueda es el siguiente:

• Configura un disparador de autenticación para crear un documento de usuario cuando este se registre. Este documento contiene información que podrás consultar posteriormente, como su dirección de correo electrónico.

• Crea una función que consulta la recopilación de datos de un usuario.

• Llame a la función desde el lado del cliente cuando el usuario quiera encontrar a otro usuario.

Para crear un activador de autenticación, siga estos pasos:

1. Inicie sesión en la interfaz de usuario de Realm y haga clic en Triggers en el panel de la izquierda.

2. Haga clic en el botón Add a Trigger.

3. Establece el interruptor Trigger Type en Authentication.

4. En Detalles del activador, especifica los siguientes valores:

   • Name: "onUserCreated"

   • Enbaled: interruptor para activar la opción "On"

   • Action Type:Seleccione "Crear"

   • Provider(s): Seleccione "Correo electrónico/Contraseña" o el proveedor de autenticación que esté utilizando.

   • Select an Event Type:Seleccione "Función"

   • Function:Seleccione "+Nueva función" y luego:

     • Function Name: "onUserCreated"

     • Function:Reemplace el texto del marcador de posición con la siguiente función:

     exports = function(authEvent) {
         const user = authEvent.user;
         const collection = context.services.get("mongodb-atlas").db("Item").collection("User");
         const newDoc = {
           _id: user.id,
           email: user.data.email, // Useful for looking up user IDs by email later - assuming email/password auth is used
           team: "", // Used for tiered privileges
           isTeamAdmin: false, // Used for tiered privileges
           isGlobalAdmin: false, // Used for admin privileges
           subscribedTo: [], // Used for restricted feed
         };
         return collection.insertOne(newDoc);
     };

A continuación, cree una función del sistema llamada findUser:

• Inicie sesión en la interfaz de usuario de Realm, vaya a su aplicación Realm y luego haga clic en Functions en el panel de la izquierda.

• Haga clic en el botón Create New Function.

• Proporcione un Name descriptivo para su función.

• AuthenticationSeleccione System. Esto permite que su función omita los permisos en sus colecciones.

• Log Function Arguments:Déjalo off.

• Authorization:

  • Can Evaluate:Dejarlo en blanco.

  • Private:Déjalo off.

• Haga clic en Save. Esto lo llevará a Function Editor, donde ahora puede ingresar algunos datos para ejecutar.

En el Function Editor, pegue el siguiente código y guárdelo:

exports = async function(email) {
  const collection = context.services.get("mongodb-atlas")
    .db("Item").collection("User");
  const filter = {
    email,
  };
  // Search for the user by email
  const result = await collection.findOne(filter);
  // Return corresponding user id or null
  return result != null ? result._id : null;
};

Desde su cliente, ahora puede llamar a esta función. El único argumento de la función es una cadena de correo electrónico. Si el correo electrónico corresponde a un usuario, la función devuelve su ID. De lo contrario, devuelve un valor nulo.

Habilitar y configurar datos de usuario personalizados

Para habilitar datos de usuario personalizados en la interfaz de usuario de App Services, siga estos pasos:

1. Haga clic en App Users en el panel de la izquierda.

2. Seleccione la pestaña User Settings y busque la sección Custom User Data.

3. Establece el interruptor Enable Custom User Data en On.

4. Especifique los siguientes valores:

   • Cluster Name:El nombre de un clúster MongoDB vinculado que contendrá la base de datos de datos de usuario personalizada.

   • Database Name:El nombre de la base de datos MongoDB que contendrá la recopilación de datos de usuario personalizados.

   • Collection Name: El nombre de la colección de MongoDB que contendrá los datos personalizados del usuario.

5. Especifique el campo ID de usuario. Cada documento de la colección de datos de usuario personalizada debe tener un campo asignado a un usuario específico. Este campo debe estar presente en todos los documentos asignados a un usuario y debe contener el ID del usuario como una cadena. Recomendamos usar el _id campo estándar para almacenar el ID de usuario. MongoDB aplica automáticamente una restricción al _id campo para garantizar la unicidad.

   Nota

   Si dos documentos de esta colección contienen el mismo valor de ID de usuario, App Services utiliza el primer documento que coincide, lo que genera resultados inesperados.

6. Guarda e implementa los cambios.

   Nota

   Reiniciar la sesión de sincronización después de actualizar los datos de usuario personalizados

   El servidor de sincronización almacena en caché los datos de usuario personalizados durante la sesión. Por lo tanto, debe reiniciar la sesión de sincronización después de actualizar los datos de usuario personalizados para evitar un error de escritura compensatorio. Para reiniciar la sesión de sincronización, pause y reanude todas las sesiones de sincronización abiertas en la aplicación cliente. Para obtener más información sobre cómo pausar y reanudar la sincronización desde los SDK del cliente, consulte su SDK preferido:

   • Pausar o reanudar una sesión de sincronización de dispositivos - Flutter SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - SDK de Kotlin

   • Pausar o reanudar una sesión de sincronización de dispositivos - SDK de Java

   • Pausar o reanudar una sesión de sincronización de dispositivos - .Net SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - Node SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - React Native SDK

   • Pausar o reanudar una sesión de sincronización de dispositivos - Swift SDK

Crear una función de activación de autenticación

Necesitamos crear una función de activación de autenticación que genere un objeto de usuario personalizado cuando un usuario se autentica por primera vez. Para ello, siga estos pasos:

1. Inicie sesión en la interfaz de usuario de Realm y haga clic en Triggers en el panel de la izquierda.

2. Haga clic en el botón Add a Trigger.

3. Establece el interruptor Trigger Type en Authentication.

4. En Detalles del activador, especifica los siguientes valores:

   • Name: "onUserCreated"

   • Enbaled: interruptor para activar la opción "On"

   • Action Type:Seleccione "Crear"

   • Provider(s): Seleccione "Correo electrónico/Contraseña" o el proveedor de autenticación que esté utilizando.

   • Select an Event Type:Seleccione "Función"

   • Function:Seleccione "+Nueva función" y luego:

     • Function Name: "onUserCreated"

     • Function:Reemplace el texto del marcador de posición con la siguiente función:

     exports = function(authEvent) {
         const user = authEvent.user;
         const collection = context.services.get("mongodb-atlas").db("Item").collection("User");
         const newDoc = {
           _id: user.id,
           email: user.data.email, // Useful for looking up user IDs by email later - assuming email/password auth is used
           team: "", // Used for tiered privileges
           isTeamAdmin: false, // Used for tiered privileges
           isGlobalAdmin: false, // Used for admin privileges
           subscribedTo: [], // Used for restricted feed
         };
         return collection.insertOne(newDoc);
     };

Crear la función joinTeam

Ahora necesitamos una función que añada un usuario a un equipo. Tenga en cuenta que esta función se ejecutará con autenticación del sistema y escribirá en los datos personalizados del usuario. No realiza una operación de upsert, ya que los datos personalizados del usuario se crearon cuando el usuario se autenticó correctamente por primera vez.

Para crear la función, siga estos pasos:

1. Inicie sesión en la interfaz de usuario de Realm y haga clic en Functions en el panel de la izquierda.

2. Haga clic en el botón Create New Function.

3. Especifique los siguientes valores:

   • Name: "unirse al equipo"

   • Authentication: "Sistema"

4. Cambia a la pestaña Function Editor y reemplaza el texto del marcador de posición con el siguiente código:

   exports = async function(userId, teamName) {
     const collection = context.services.get("mongodb-atlas")
       .db("Item").collection("User");
     const filter = { _id: userId };
     const update = { $set: { team: teamName }};
     const options = { upsert: false };
     return collection.updateOne(filter, update, options);
   };

Definir permisos

Los siguientes permisos especifican dos roles:

• teamAdmin solo se aplica cuando los datos personalizados del usuario isTeamAdmin: true tienen. En ese caso, el usuario puede leer y escribir todos los documentos cuyo team valor coincida con el team valor del usuario.

• teamMember se aplica a todos los usuarios. El usuario puede crear sus propios documentos y leer todos los documentos cuyo team valor coincida con el team valor del usuario.

[
   {
     "name": "admin",
     "apply_when": {
       "%%user.custom_data.isTeamAdmin": true
     },
     "document_filter": {
       "read": {
         "team": "%%user.custom_data.team"
       },
       "write": {
         "team": "%%user.custom_data.team"
       }
     },
     "read": true,
     "write": true
   },
   {
     "name": "user",
     "apply_when": {},
     "document_filters": {
       "read": {
         "team": "%%user.custom_data.team"
       },
       "write": {
         "owner_id": "%%user.id"
       }
     },
     "read": true,
     "write": true
   }
]