Firebase实时数据库权限规则问题：查询聊天室数据遭权限拒绝

问题背景 #

需要为chatroom节点配置规则，仅允许房间成员访问对应数据，尝试了两种规则配置，但执行全局排序查询时触发permission-denied错误，全开放规则下查询正常。

问题根源 #

你的查询直接在chatroom根节点执行全局排序，但Firebase Realtime Database的权限检查是自上而下执行的：

1. 首先校验chatroom节点的.read权限，你当前的规则未给该节点设置合法的.read权限；
2. 规则不会自动遍历所有子节点验证权限，全局查询要求根节点本身具备权限，同时返回的每个子节点也要符合子节点规则。

以下是针对两种规则思路的解决方案，附性能更优的反向索引方案：

方案一：基于room_id包含用户UID的规则 #

规则修改

{
  "rules": {
    "chatroom": {
      ".write": "auth != null",
      // 允许按key查询包含当前UID的房间
      ".read": "auth != null && query.orderByKey() && query.startAt('${auth.uid}') && query.endAt('${auth.uid}\\uf8ff')",
      "$room_id": {
        ".read": "$room_id.contains(auth.uid)"
      }
    }
  }
}

对应Flutter查询代码

Realtime Database仅支持单字段排序，需先筛选用户所属房间，再自行按date排序：

final currentUid = FirebaseAuth.instance.currentUser!.uid;
// 筛选所有key包含当前UID的房间
final roomSnapshot = await db.ref('chatroom')
    .orderByKey()
    .startAt(currentUid)
    .endAt('$currentUid\uf8ff') // \uf8ff为Unicode高位字符，匹配以UID开头的所有key
    .once();

// 提取数据并按date降序排序
final chatrooms = (roomSnapshot.snapshot.value as Map<String, dynamic>).values.toList();
chatrooms.sort((a, b) => (b['date'] as int).compareTo(a['date'] as int));
// 取最新10条
final last10Chatrooms = chatrooms.take(10).toList();

方案二：基于member节点的规则 #

规则修改

{
  "rules": {
    "chatroom": {
      ".write": "auth != null",
      // 允许查询member中当前UID为true的房间
      ".read": "auth != null && query.orderByChild('member/${auth.uid}') && query.equalTo(true)",
      "$room_id": {
        ".read": "data.child('member').child(auth.uid).val() == true"
      }
    }
  }
}

对应Flutter查询代码

final currentUid = FirebaseAuth.instance.currentUser!.uid;
// 直接查询当前用户是成员的房间
lastQuery = db.ref('chatroom')
    .orderByChild('member/$currentUid')
    .equalTo(true)
    .limitToLast(10);
data = await lastQuery.once();

注意事项

需在Firebase控制台为chatroom节点添加索引，避免查询性能下降：

{
  "rules": {
    "chatroom": {
      ".indexOn": ["member/${auth.uid}"],
      // 其余规则保持不变
    }
  }
}

最优方案：反向索引（推荐） #

全局查询在大规模数据下性能较差，建议新增user_chatrooms反向索引节点，存储每个用户对应的房间ID：

数据结构新增

user_chatrooms
  - {uid1}
    - {room_id1}: true
    - {room_id2}: true
  - {uid2}
    - {room_id1}: true

规则配置

{
  "rules": {
    "chatroom": {
      ".write": "auth != null",
      "$room_id": {
        ".read": "data.child('member').child(auth.uid).val() == true"
      }
    },
    "user_chatrooms": {
      "$uid": {
        ".read": "$uid === auth.uid",
        ".write": "$uid === auth.uid"
      }
    }
  }
}

对应Flutter查询代码

final currentUid = FirebaseAuth.instance.currentUser!.uid;
// 1. 获取当前用户所有房间ID
final userRoomsSnapshot = await db.ref('user_chatrooms/$currentUid').once();
if (userRoomsSnapshot.snapshot.value == null) {
  // 无房间数据，直接返回
  return;
}
final roomIds = (userRoomsSnapshot.snapshot.value as Map<String, dynamic>).keys.toList();

// 2. 批量获取房间详情
final roomSnapshots = await Future.wait(
  roomIds.map((id) => db.ref('chatroom/$id').once())
);

// 3. 整理并按date排序
final chatrooms = roomSnapshots
    .map((snap) => snap.snapshot.value as Map<String, dynamic>)
    .toList();
chatrooms.sort((a, b) => (b['date'] as int).compareTo(a['date'] as int));

// 4. 取最新10条
final last10Chatrooms = chatrooms.take(10).toList();

内容的提问来源于stack exchange，提问作者lake