firestore.rules

rules_version = '2';

service cloud.firestore {
  match /databases/{database}/documents {

    // Helper function: verifica se l'utente è autenticato
    function isAuthenticated() {
      return request.auth != null;
    }

    // Helper function: verifica se l'utente è il proprietario
    function isOwner(userId) {
      return isAuthenticated() && request.auth.uid == userId;
    }

    // Helper function: verifica se i dati hanno il campo userId corretto
    function hasValidUserId() {
      return request.resource.data.userId == request.auth.uid;
    }

    // Collezione users - ogni utente può leggere e scrivere solo i propri dati
    match /users/{userId} {
      allow read: if isOwner(userId);
      allow write: if isOwner(userId);
    }

    // Collezione assets - ogni utente può gestire solo i propri asset
    match /assets/{assetId} {
      // Lettura: solo se è il proprietario
      allow read: if isAuthenticated() && resource.data.userId == request.auth.uid;

      // Creazione: solo se autenticato e il userId corrisponde
      allow create: if isAuthenticated() && hasValidUserId();

      // Aggiornamento: solo se è il proprietario e non cambia il userId (se presente)
      allow update: if isOwner(resource.data.userId) &&
                       (!('userId' in request.resource.data) ||
                        request.resource.data.userId == resource.data.userId);

      // Cancellazione: solo se è il proprietario
      allow delete: if isOwner(resource.data.userId);
    }

    // Collezione monthly-snapshots - snapshot mensili del patrimonio
    match /monthly-snapshots/{snapshotId} {
      allow read: if isAuthenticated() && resource.data.userId == request.auth.uid;
      allow create: if isAuthenticated() && hasValidUserId();
      allow update: if isOwner(resource.data.userId) &&
                       (!('userId' in request.resource.data) ||
                        request.resource.data.userId == resource.data.userId);
      allow delete: if isOwner(resource.data.userId);
    }

    // Collezione price-history - storico prezzi (può essere condiviso tra utenti)
    match /price-history/{priceId} {
      // Lettura pubblica per tutti gli utenti autenticati
      allow read: if isAuthenticated();

      // Solo il sistema (admin SDK) può scrivere
      allow write: if false;
    }

    // Collezione portfolios - se hai portafogli separati
    match /portfolios/{portfolioId} {
      allow read: if isAuthenticated() && resource.data.userId == request.auth.uid;
      allow create: if isAuthenticated() && hasValidUserId();
      allow update: if isOwner(resource.data.userId) &&
                       (!('userId' in request.resource.data) ||
                        request.resource.data.userId == resource.data.userId);
      allow delete: if isOwner(resource.data.userId);
    }

    // Collezione assetAllocationTargets - target di allocazione asset
    match /assetAllocationTargets/{targetId} {
      // Read: use targetId instead of resource.data.userId to allow reading non-existent documents
      // This is needed during registration when getDoc() is called before the document exists
      allow read: if isAuthenticated() && targetId == request.auth.uid;
      allow create: if isAuthenticated() && hasValidUserId();
      allow update: if isOwner(resource.data.userId) &&
                       (!('userId' in request.resource.data) ||
                        request.resource.data.userId == resource.data.userId);
      allow delete: if isOwner(resource.data.userId);
    }

    // Collezione expenses - tracciamento spese ed entrate
    match /expenses/{expenseId} {
      // Lettura: solo se è il proprietario
      allow read: if isAuthenticated() && resource.data.userId == request.auth.uid;

      // Creazione: solo se autenticato e il userId corrisponde
      allow create: if isAuthenticated() && hasValidUserId();

      // Aggiornamento: solo se è il proprietario e non cambia il userId (se presente)
      // Permette update parziali che non includono userId
      allow update: if isOwner(resource.data.userId) &&
                       (!('userId' in request.resource.data) ||
                        request.resource.data.userId == resource.data.userId);

      // Cancellazione: solo se è il proprietario
      allow delete: if isOwner(resource.data.userId);
    }

    // Collezione expenseCategories - categorie per le spese
    match /expenseCategories/{categoryId} {
      // Lettura: solo se è il proprietario
      allow read: if isAuthenticated() && resource.data.userId == request.auth.uid;

      // Creazione: solo se autenticato e il userId corrisponde
      allow create: if isAuthenticated() && hasValidUserId();

      // Aggiornamento: solo se è il proprietario e non cambia il userId (se presente)
      allow update: if isOwner(resource.data.userId) &&
                       (!('userId' in request.resource.data) ||
                        request.resource.data.userId == resource.data.userId);

      // Cancellazione: solo se è il proprietario
      allow delete: if isOwner(resource.data.userId);
    }

    // Collezione dividends - tracciamento dividendi
    match /dividends/{dividendId} {
      // Lettura: solo se è il proprietario
      allow read: if isAuthenticated() && resource.data.userId == request.auth.uid;

      // Creazione: solo se autenticato e il userId corrisponde
      allow create: if isAuthenticated() && hasValidUserId();

      // Aggiornamento: solo se è il proprietario e non cambia il userId (se presente)
      allow update: if isOwner(resource.data.userId) &&
                       (!('userId' in request.resource.data) ||
                        request.resource.data.userId == resource.data.userId);

      // Cancellazione: solo se è il proprietario
      allow delete: if isOwner(resource.data.userId);
    }

    // Collezione hall-of-fame - ranking personali dell'utente
    match /hall-of-fame/{userId} {
      // Lettura: solo il proprietario può leggere i propri ranking
      allow read: if isOwner(userId);

      // Scrittura: solo il proprietario può aggiornare i propri ranking
      // (il document ID è uguale all'userId)
      allow create, update: if isOwner(userId) &&
                               request.resource.data.userId == userId;

      // Cancellazione: solo il proprietario
      allow delete: if isOwner(userId);
    }

    // Collezione goalBasedInvesting - obiettivi di investimento
    match /goalBasedInvesting/{userId} {
      // Read: use userId (doc ID) to allow reading non-existent documents (returns null)
      allow read: if isOwner(userId);

      // Write: only the owner can create/update/delete their goals
      allow create, update: if isOwner(userId) &&
                               request.resource.data.userId == userId;

      // Delete: only the owner
      allow delete: if isOwner(userId);
    }

    // Collezione budgets - configurazione budget mensili dell'utente
    match /budgets/{userId} {
      // Read: use userId (doc ID) to allow reading non-existent documents (returns null)
      allow read: if isOwner(userId);

      // Write: only the owner can create/update/delete their budget config
      allow create, update: if isOwner(userId) &&
                               request.resource.data.userId == userId;

      // Delete: only the owner
      allow delete: if isOwner(userId);
    }

    // Blocca tutto il resto per sicurezza
    match /{document=**} {
      allow read, write: if false;
    }
  }
}