如何基于父文档为Firestore所有子集合正确配置权限规则

你的问题出在递归通配符规则中使用的resource.data.members指向的是当前访问的子集合文档，而非父级主文档的members列表——子文档本身没有这个字段，所以权限条件永远不满足，导致访问被拒。

要实现基于主文档members列表的子集合权限控制，需要在规则中主动读取主文档的数据进行校验，具体写法如下：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 匹配主文档及其所有子集合/子文档
    match /mycollection/{mainDoc}/{subpaths=**} {
      allow read, write: if request.auth != null && 
        get(/databases/$(database)/documents/mycollection/$(mainDoc)).data.members has request.auth.uid;
    }
  }
}

关键说明： #

• 使用get(/databases/$(database)/documents/mycollection/$(mainDoc))获取主文档的完整数据，然后检查用户UID是否在主文档的members列表中。
• 加入request.auth != null前置校验，避免未登录用户触发无效的get操作。
• 递归通配符{subpaths=**}会匹配主文档下所有层级的子集合和子文档，无需为每个子集合单独写规则。

额外优化点： #

如果需要区分读写操作，或者对写入子文档做额外限制（比如确保子文档的创建者属于members），可以扩展规则：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /mycollection/{mainDoc}/{subpaths=**} {
      // 读取权限：用户在主文档members中
      allow read: if request.auth != null && 
        get(/databases/$(database)/documents/mycollection/$(mainDoc)).data.members has request.auth.uid;
      
      // 写入权限：用户在主文档members中，且写入操作符合需求（示例：创建子文档时校验）
      allow write: if request.auth != null && 
        get(/databases/$(database)/documents/mycollection/$(mainDoc)).data.members has request.auth.uid &&
        // 可选：限制写入操作只能是创建，或校验子文档字段
        request.resource.data.createdBy == request.auth.uid;
    }
  }
}

为什么之前的递归规则无效？ #

你之前的规则中resource.data.members针对的是当前被访问的文档：

• 访问主文档时，resource是主文档，有members字段，所以规则生效；
• 访问子集合文档时，resource是子文档，没有members字段，request.auth.uid in resource.data.members会直接返回false，导致权限被拒。

内容的提问来源于stack exchange，提问作者Ben987654