Firestore PHP Client权限被拒：配置规则后仍报错求助

你使用服务账号密钥初始化FirestoreClient时，请求不会携带前端登录用户的Firebase认证信息，安全规则中的request.auth指向的是服务账号本身的身份（而非登录用户），但你的规则逻辑是要求请求携带普通用户的认证凭证，因此触发权限拒绝。

方案一：传入用户ID Token（推荐，符合用户身份隔离） #

用户通过Firebase Auth登录后，前端会获取到ID Token，将该Token传到后端，后端调用Firestore时附加此Token，让安全规则识别当前操作的用户身份。

修改PHP代码：

// 从前端请求中获取用户的ID Token（示例为POST方式，根据你的实际传参方式调整）
$idToken = $_POST['id_token'];

// 可选但建议：验证ID Token的有效性，确保是合法用户
$auth = new Firebase\Auth\Auth;
try {
    $verifiedIdToken = $auth->verifyIdToken($idToken);
    $uid = $verifiedIdToken->getClaim('sub');
} catch (\Exception $e) {
    // 处理Token验证失败的情况
    exit("Invalid token");
}

// 初始化FirestoreClient时传入用户的ID Token
$firestore = new FirestoreClient([
    'projectId' => env('firebase.project.id'),
    'keyFileName' => env('firebase.key.file'),
    'authToken' => $idToken,
]);

$collection = $firestore->collection('users');
$document = $collection->document($uid);
// 注意：代码中的snaphot是拼写错误，正确为snapshot()方法
$secret_key = $document->snapshot()->get('secret_key');

此时Firestore请求会携带用户的认证信息，原规则request.auth != null即可正常生效。

方案二：修改安全规则允许服务账号访问 #

若业务需要直接用服务账号操作Firestore（不依赖用户Token），可调整规则允许服务账号的请求：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if 
        // 允许已认证的普通用户访问
        request.auth != null ||
        // 允许服务账号访问（替换为你的服务账号邮箱）
        request.auth.token.email == 'your-service-account@your-project.iam.gserviceaccount.com';
    }
  }
}

或通用匹配所有服务账号：

allow read, write: if 
  request.auth != null ||
  request.auth.token.firebase.sign_in_provider == 'service_account';

1. 修正代码拼写错误：$document->snaphot应为$document->snapshot()（需调用方法而非直接访问属性）。
2. 确保服务账号拥有IAM权限：在Google Cloud控制台给服务账号分配Cloud Firestore Editor或对应粒度的角色，避免IAM层面的权限不足。

内容的提问来源于stack exchange，提问作者samax