Flutter开发E-learning平台Firebase权限不足异常求助

问题根源 #

你提供的Firebase规则仅配置了Storage的访问权限，完全没有设置Firestore的规则，此时Firestore使用默认规则：仅允许已认证用户读写。而你的管理员未通过Firebase Auth完成认证，导致请求的request.auth为null，触发Missing or insufficient permissions错误。

1. 开发阶段快速验证方案 #

先临时开放Firestore的所有读写权限，确认问题是否由规则导致：

rules_version = '2';

// 新增Firestore规则配置
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

// 保留原Storage规则
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if true;
    }
  }
}

部署规则后尝试添加课程，若成功则说明问题确实出在Firestore规则上。

2. 适配硬编码管理员的规则配置 #

针对你用硬编码用户名密码验证管理员的场景，可通过在请求数据中携带管理员标识来控制权限：

第一步：修改Firestore规则

rules_version = '2';

service cloud.firestore {
  match /databases/{database}/documents {
    // 所有用户可读取课程
    match /courses/{courseId} {
      allow read: if true;
      // 仅当数据包含管理员标识时允许写入
      allow write: if request.resource.data.addedByAdmin == true;
    }
    // 用户集合保留原有权限逻辑
    match /users/{userId} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if true;
    }
  }
}

第二步：修改Bloc代码

在添加课程时，给数据附加管理员标识字段：

FutureOr<void> addCourseToFirebase(
  AddCourseEvent event,
  Emitter<CourseState> emit,
) async {
  emit(LoadingState());

  try {
    // 新增addedByAdmin字段标记管理员操作
    await FirebaseFirestore.instance
        .collection("courses")
        .doc(event.CourseId)
        .set({...event.data, 'addedByAdmin': true})
        .then((value) {
      print("add course success");
    });
  } on FirebaseException catch (e) {
    print("add course: ${e.message}"); // 移除多余的星号
  }
}

3. 长期规范方案（学习进阶） #

建议后续接入Firebase Auth的管理员认证体系：

1. 创建管理员账号并通过Firebase Auth登录
2. 在users集合中给该用户添加isAdmin: true字段
3. 配置Firestore规则验证用户权限：

rules_version = '2';

service cloud.firestore {
  match /databases/{database}/documents {
    match /courses/{courseId} {
      allow read: if true;
      allow write: if firestore.get(/databases/$(database)/documents/users/$(request.auth.uid)).data.isAdmin == true;
    }
  }
}

代码小问题修正 #

• 异常捕获中的** print("add course: ${e.message}")**存在多余星号，需删除
• 删除课程的异常打印内容错误，建议改为debugPrint("deleteCourse ${e.message}")

内容的提问来源于stack exchange，提问作者Sarath Krishnan P V