Firestore规则异常：请求/projects集合返回空数组问题排查

问题核心原因 #

查询projects集合时，规则无法直接引用固定的projectId——集合查询是批量校验每个文档的权限，你需要针对遍历到的每个项目文档单独检查allowRead字段，以及当前用户是否在该项目的users子集合中并具备权限。之前的规则可能未正确处理集合级的list操作，或错误使用了未定义的projectId变量。

修正后的权限规则示例 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 单个项目文档的读取与集合查询规则
    match /projects/{projectId} {
      // 允许读取单个文档或查询集合列表
      allow read, list: if 
        // 条件1：项目允许公开读取
        resource.data.allowRead == true ||
        // 条件2：用户已登录，且在该项目的users子集合中，同时自身权限符合要求
        (request.auth != null &&
         exists(/databases/$(database)/documents/projects/$(projectId)/users/$(request.auth.uid)) &&
         get(/databases/$(database)/documents/users/$(request.auth.uid)).data.permission == "allowed");

      // 项目下users子集合的读取规则（保留原有正常逻辑）
      match /users/{userId} {
        allow read: if 
          request.auth.uid == userId ||
          resource.data.allowRead == true ||
          (request.auth != null &&
           exists(/databases/$(database)/documents/projects/$(projectId)/users/$(request.auth.uid)) &&
           get(/databases/$(database)/documents/users/$(request.auth.uid)).data.permission == "allowed");
      }
    }
  }
}

关键说明 #

1. 集合查询的list操作：在match /projects/{projectId}中同时声明allow read, list，确保单个文档读取和集合查询都应用同一套权限逻辑。
2. 动态projectId变量：匹配模式中的{projectId}会自动绑定当前遍历到的项目文档ID，这样就能正确访问该文档的allowRead字段，以及对应的users子集合。
3. 权限校验逻辑：
   • 用resource.data.allowRead获取当前文档的公开读取配置；
   • 用exists()检查用户是否在该项目的users子集合中；
   • 用get()获取用户自身的权限文档，验证权限是否符合要求。
4. 登录状态判断：添加request.auth != null避免未登录用户触发不必要的get()/exists()调用，同时符合权限逻辑的前提。

注意事项 #

• Firestore会缓存get()和exists()的请求结果，不会重复扣费，但如果集合中项目数量极大，建议考虑优化权限结构（比如将用户权限同步到项目文档的数组字段中，减少跨文档查询）。
• 如果允许未登录用户访问allowRead=true的项目，可将条件调整为：request.auth == null && resource.data.allowRead == true || [原有登录用户条件]。

内容的提问来源于stack exchange，提问作者fabianRafreider