Firestore提示无操作权限却返回文档，该如何解决？

我配置了如下Firebase规则：

service cloud.firestore {
  match /databases/{database}/documents {
    match /organizations/{organizationId} {
      allow create: if request.auth.token.superUser == true;
      allow read, write: if request.auth != null && request.auth.uid in request.resource.data.userIds;
    }
  }
}

同时使用如下Flutter监听器代码：

FirebaseFirestore.instance
          .collection(ORGANIZATIONS_PATH)
          .where('userIds', arrayContains: userId)
          .snapshots()
          .handleError((onError) {
            print('Org Service: orgnaizations listener error');
            print(onError);
          })
          .listen(_onOrganizationsChanged);

当前现象：文档能正常显示，但错误处理器仍收到报错：

the caller does not have permission to execute the specified operation.

请问该如何解决此问题？这种既返回文档又提示无权限的情况是否为Bug？

核心原因 #

这不是Bug，是你写错了Firestore规则导致的：
request.resource.data.userIds里的request.resource只在**写入操作（创建/更新/删除）**中存在，读取文档时这个对象是空的，直接引用会触发权限校验失败。但你的查询where('userIds', arrayContains: userId)已经过滤出了用户有权限的文档，所以Firestore会返回这些符合条件的内容，但同时会因为规则逻辑错误抛出权限报错。

解决办法 #

把规则里的request.resource.data.userIds拆分，读取操作改用resource.data.userIds——resource代表数据库中已存在的文档数据，专门用于读取权限校验：

service cloud.firestore {
  match /databases/{database}/documents {
    match /organizations/{organizationId} {
      allow create: if request.auth.token.superUser == true;
      // 读取操作用resource指向已存文档
      allow read: if request.auth != null && request.auth.uid in resource.data.userIds;
      // 写入操作仍用request.resource指向待写入的新数据
      allow write: if request.auth != null && request.auth.uid in request.resource.data.userIds;
    }
  }
}

修改后重新部署Firebase规则，再测试监听器即可消除报错。

额外注意 #

• 确保当前用户已正确登录，代码中的userId是当前用户的uid
• 验证organizations集合中的目标文档，确实把该userId包含在userIds数组内

内容的提问来源于stack exchange，提问作者xerotolerant