firestore.rules

rules_version = '2';

service cloud.firestore {
  match /databases/{database}/documents {

    // Es gibt keine Authentifizierung für Spieler:innen (nur eine UUID in
    // localStorage, siehe src/identity.ts). Der 5-stellige Zugangscode ist
    // die einzige "Zugriffskontrolle" – wer ihn kennt, kann dem Raum
    // beitreten und den Raum-Zustand aktualisieren. Das ist für ein
    // Casual-Partyspiel ohne sensible Daten ausreichend.
    match /rooms/{roomCode} {
      allow read: if true;

      allow create: if request.resource.data.code == roomCode
        && request.resource.data.players.size() == 1
        && request.resource.data.phase == 'lobby';

      allow update: if request.resource.data.code == resource.data.code
        && request.resource.data.players.size() <= 10;

      allow delete: if true;
    }
  }
}