storage.rules

rules_version = '2';

service firebase.storage {
  match /b/{bucket}/o {

    // ─── Imágenes de productos ───────────────────────────────────────────────
    // Lectura: cualquier usuario autenticado.
    // Escritura: solo admin.

    match /products/{imageId} {
      allow read:  if request.auth != null;
      allow write: if request.auth != null
                   && firestore.get(
                        /databases/(default)/documents/users/$(request.auth.uid)
                      ).data.role == 'ADMIN';
    }

    // ─── Avatares de usuario ─────────────────────────────────────────────────
    // Cada usuario solo puede subir/leer su propia foto de perfil.

    match /users/{userId}/{imageId} {
      allow read:  if request.auth != null;
      allow write: if request.auth.uid == userId;
    }
  }
}