添加Firestore安全规则后实时Stream未更新，Get请求正常

问题现象 #

• 使用宽松的全局时间规则时，服务器或本地缓存数据变化，Stream能正常触发更新
• 切换到基于用户UID的权限规则后，Stream完全没反应，但单次get请求却能拿到最新数据

核心原因 #

Firestore的实时监听（Stream）和单次读取（get）的权限校验逻辑不一样：

• 单次get只检查你请求的那一篇文档的权限，只要满足request.auth.uid == resource.data.author_uid就能返回结果
• 实时监听要持续校验整个查询结果集的权限，而且要求你的查询本身能被安全规则"识别"——也就是规则能确定查询返回的所有文档都符合权限要求。如果你的查询没有加过滤条件（比如直接监听整个lists集合），Firestore没法提前判断哪些文档属于当前用户，会直接拒绝建立实时监听，而且不会返回明确错误（这是Firestore的安全机制，防止泄露敏感文档的存在性）

解决方案 #

1. 给Stream查询加过滤条件 #

修改Stream代码，只监听当前用户创建的文档：

_stream = FirebaseFirestore
    .instance
    .collection('lists')
    // 只获取当前用户作为作者的文档
    .where('author_uid', isEqualTo: FirebaseAuth.instance.currentUser?.uid)
    .snapshots(includeMetadataChanges: true)
    .listen(
  (QuerySnapshot snapshot) {
    // 你的快照处理逻辑
  },
);

加了这个过滤条件后，安全规则可以确认查询返回的所有文档都满足权限要求，就能正常建立实时监听，后续文档变化时也会触发Stream更新。

2. 优化安全规则（可选） #

可以给集合查询添加明确的权限校验，让规则直接匹配你的查询过滤逻辑：

service cloud.firestore {
  match /databases/{database}/documents {
    match /{collection}/{document} {
      allow read, delete: if request.auth.uid == resource.data.author_uid;
      allow create: if request.auth.uid == request.resource.data.author_uid;
      allow update: if request.auth.uid == request.resource.data.author_uid
                    && request.auth.uid == resource.data.author_uid;
      // 校验集合查询必须包含author_uid等于当前用户UID的条件
      allow list: if request.auth != null 
                  && request.query.where('author_uid', '==', request.auth.uid);
    }
  }
}

添加allow list规则后，Firestore会明确检查你的集合查询是否带了正确的过滤条件，进一步保障实时监听的权限合法性。

关键提醒 #

• 实时监听要求查询必须是安全规则能验证的，不能返回用户无权访问的文档，否则Firestore会静默拒绝监听（不返回错误是为了避免攻击者通过监听失败来探测敏感文档）
• 要确保用户已经正确登录（FirebaseAuth.instance.currentUser不为null），否则权限校验失败，Stream也没法正常工作

内容的提问来源于stack exchange，提问作者atreeon