Firestore规则返回权限不足：查询含自身ID的incidents文档失败

问题根源 #

• 你的安全规则使用request.auth.uid in resource.data.members，这个逻辑是针对单个文档的权限校验，但客户端直接查询整个incidents集合且未添加任何过滤条件。Firestore为了性能和安全，不会遍历集合内所有文档逐个验证规则，而是要求查询条件必须和规则逻辑完全匹配，否则直接返回权限拒绝。
• 规则里缺少request.auth != null的登录状态检查，即便你确认用户已登录，未加该判断也可能在边缘场景触发错误（比如用户会话过期瞬间的请求）。

修复步骤 #

1. 修改客户端代码，添加查询过滤 #

必须在查询中明确过滤出members数组包含当前用户ID的文档，让Firestore能验证查询符合规则要求：

import { collection, query, where, onSnapshot } from 'firebase/firestore';
import { getAuth } from 'firebase/auth';

const auth = getAuth();
const currentUser = auth.currentUser;

if (currentUser) {
  const incidentsCollection = collection(db, 'incidents');
  // 添加数组包含查询条件，匹配规则逻辑
  const q = query(incidentsCollection, where('members', 'array-contains', currentUser.uid));
  
  onSnapshot(q, (querySnapshot) => {
    const fetchedIncidents = [];
    querySnapshot.forEach((doc) => {
      fetchedIncidents.push({
        id: doc.id,
        ...doc.data(),
      });
    });
    // 后续处理获取到的事件数据
  });
}

2. 调整安全规则，完善校验逻辑 #

更新规则，补充登录状态检查，同时确保规则与查询逻辑对应：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /incidents/{incidentId} {
      // 读取权限：用户已登录，且文档members数组包含当前用户ID
      allow read: if request.auth != null && request.auth.uid in resource.data.members;
      // 写入权限保留原逻辑，同时补充登录检查
      allow write: if request.auth != null && request.auth.uid in resource.data.members;
    }
  }
}

关键说明 #

Firestore的安全规则遵循查询过滤与权限校验绑定的设计，客户端查询必须明确匹配规则中的权限逻辑，否则集合级查询会被直接拒绝。这是为了避免大量无效的文档遍历检查，同时保证数据访问的安全性和性能。

内容的提问来源于stack exchange，提问作者user2826751