Firestore规则拒绝合法请求：React查询权限异常排查

问题根源 #

你的安全规则存在两个核心问题：

1. 批量查询时的跨文档读取限制：inSameFamily函数通过get读取每个待查询用户的文档来验证家庭关系，Firestore在处理集合级查询时，无法为每个潜在结果逐个执行跨文档读取（性能与安全限制），直接导致权限校验失败。
2. 规则与查询条件不匹配：Firestore安全规则要求查询的所有结果必须满足规则，但你的规则没有强制要求查询携带familyId匹配条件，无法让Firestore提前验证查询范围的合法性。

修复后的安全规则 #

function isSignedIn() {
  return request.auth != null;
}

function getUserFamilyId() {
  // 仅读取当前登录用户的文档，获取其家庭ID
  return get(/databases/$(database)/documents/users/$(request.auth.uid)).data.familyId;
}

match /users/{userId} {
  allow read: if isSignedIn() && (
    // 允许读取自己的文档
    request.auth.uid == userId ||
    // 允许读取同家庭用户，但强制查询必须携带匹配当前用户家庭ID的条件
    request.query.where('familyId', '==', getUserFamilyId())
  );
}

前端代码注意事项 #

确保你的查询确实携带了familyId等于当前用户家庭ID的条件，比如：

// 先获取当前用户的家庭ID（从当前用户文档中读取）
const [currentUser] = useDocumentData(doc(db, USERS_COLLECTION, auth.currentUser?.uid || ""), {
  converter: UserConverter.prototype
});

const familyId = currentUser?.familyId;

// 再执行查询
const [membersSnapshot, loading, error] = useCollectionData(
  query(
    collection(db, USERS_COLLECTION).withConverter(UserConverter.prototype),
    where(UserFields.FamilyId, "==", familyId)
  )
);

console.assert(error === undefined, error);

关于查询自己文档失败的补充说明 #

你之前尝试的where(UserFields.Email, "==", userEmail)查询失败，大概率是因为：

• 规则中request.auth.uid == userId是验证用户ID匹配，而非邮箱，你直接用邮箱查询的话，规则无法关联到当前用户的ID，需要确保查询条件要么匹配用户ID，要么符合家庭ID的规则限制。
• 若要通过邮箱查询自己的文档，需修改规则添加对应条件，或者直接通过用户ID查询（doc(db, USERS_COLLECTION, auth.currentUser.uid)），后者更高效且符合规则逻辑。

内容的提问来源于stack exchange，提问作者imstuck