rules_version = '2';

// Foto-Speicher: gleiche Logik wie Firestore — Zugriff nur für
// Mitglieder des jeweiligen Haushalts (Abgleich über Firestore).
service firebase.storage {
  match /b/{bucket}/o {
    match /households/{householdId}/{allPaths=**} {
      allow read: if isMember(householdId);
      allow write: if isMember(householdId)
        && request.resource.size < 10 * 1024 * 1024
        && request.resource.contentType.matches('image/.*');
    }

    function isMember(householdId) {
      return request.auth != null
        && request.auth.uid in firestore.get(
          /databases/(default)/documents/households/$(householdId)
        ).data.memberUids;
    }
  }
}