Firestore修改与删除字段的权限差异及问题排查

问题核心 #

你遇到的权限拒绝，根源在于当前allowGroupUpdate()安全规则只覆盖了添加/修改用户群组关系的场景，完全没考虑删除操作的逻辑：

• 添加/修改时，request.resource.data.groups会包含目标群组的键（比如group1），规则里的request.resource.data.groups.keys()[0]能正常拿到群组ID；
• 但删除时，FieldValue.delete()会把groups.group1从request.resource.data中移除，此时request.resource.data.groups.keys()是空数组，keys()[0]会直接报错，导致allowGroupUpdate()返回false，触发权限拒绝。

修正方案 #

修改allowGroupUpdate()函数，通过diff()的affectedKeys()获取唯一变动的群组ID，同时兼容添加/修改和删除两种场景：

match /users/{name} {
  function allowGroupUpdate() {
    // 获取唯一变动的群组ID
    let groupDiff = request.resource.data.groups.diff(resource.data.groups);
    let affectedGroups = groupDiff.affectedKeys();
    // 确保只改动一个群组
    if (affectedGroups.size() != 1) return false;
    let groupId = affectedGroups[0];
    // 获取对应群组文档
    let groupDoc = get(/databases/$(database)/documents/groups/$(groupId));
    // 验证当前用户是群组所有者
    return isOwner(groupDoc);
  } 

  allow read: if isPublic(resource) || name == request.auth.token.name;
  allow update: if allowProfileUpdate() || allowGroupUpdate();
  // delete is never allowed for clients
  ...
}

逻辑说明 #

1. 获取变动的群组：通过diff().affectedKeys()拿到所有被修改的群组键，不管是添加、修改还是删除，这个集合都会包含目标群组ID；
2. 单群组校验：确保一次只改动一个群组关系，和你原来的singleGroup逻辑一致；
3. 所有者验证：不管是添加/修改还是删除，只要当前用户是该群组的所有者，就允许操作。

配套代码调整 #

另外，你移除成员的代码里，把groupRef的更新从{'members': {} }改成删除单个成员更合理（避免清空整个成员列表）：

final batch = FirebaseFirestore.instance.batch();
// 只删除Bob的成员记录，而非清空整个members对象
batch.update(groupRef, {'members.bob': FieldValue.delete()});
batch.update(bobRef, {'groups.group1': FieldValue.delete()});
batch.commit();

内容的提问来源于stack exchange，提问作者Zino