Firebase Storage安全规则OR逻辑失效问题排查

问题场景 #

• 要读取Storage路径 negocios/3xPJtdaSnZZtJ2t1WY69/Avisos/GUinz0Tx8RQl8GUAixwx/fondo1.jpg 的图片，通过Angular调用 getDownloadURL() 实现
• 当前Storage的read权限设置了3个OR条件：
  1. 用户是negocio文档的uid_nagusia字段值
  2. 用户的empleados文档中avisos_leer字段为true
  3. 用户ID在aviso文档的empleados数组中
• 异常表现：用户SqfiHvKyXRatkE3WInm2k7XkcLL2符合第三个条件，但前两个条件为false时规则验证失败；删掉前两个条件就能正常通过；调整条件顺序，把符合的条件放最前面就生效，否则后面的条件不会被检查

问题根源 #

Firebase安全规则采用短路求值逻辑：如果OR条件链中某个条件触发了权限错误（比如无法读取指定文档、无文档读取权限），而非单纯返回false，规则引擎会直接终止后续条件的检查，导致符合要求的第三个条件根本没机会被验证。

比如前两个条件里，如果用户没权限读negocio或empleados文档，或者文档本身不存在，规则在检查这两个条件时直接抛错，不会继续验证第三个条件。

解决方案 #

方案1：调整条件顺序，优先验证稳定条件 #

把第三个条件（检查用户是否在aviso数组）放在OR链的最开头，确保规则引擎优先验证这个条件：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /negocios/{negocioId}/Avisos/{avisoId}/{fileName} {
      allow read: if 
        // 先检查用户是否在aviso的empleados数组中
        exists(/databases/$(database)/documents/negocios/$(negocioId)/Avisos/$(avisoId)) && 
        request.auth.uid in get(/databases/$(database)/documents/negocios/$(negocioId)/Avisos/$(avisoId)).data.empleados
        // 再检查其他条件
        || (exists(/databases/$(database)/documents/negocios/$(negocioId)) && request.auth.uid == get(/databases/$(database)/documents/negocios/$(negocioId)).data.uid_nagusia)
        || (exists(/databases/$(database)/documents/empleados/$(request.auth.uid)) && get(/databases/$(database)/documents/empleados/$(request.auth.uid)).data.avisos_leer == true);
    }
  }
}

方案2：用exists()包裹文档读取条件 #

在每个需要读取Firestore文档的条件前，先判断文档是否存在，确保条件仅返回true或false，避免触发权限错误：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /negocios/{negocioId}/Avisos/{avisoId}/{fileName} {
      allow read: if 
        // 条件1：先确认negocio文档存在，再判断用户身份
        (exists(/databases/$(database)/documents/negocios/$(negocioId)) && request.auth.uid == get(/databases/$(database)/documents/negocios/$(negocioId)).data.uid_nagusia)
        // 条件2：先确认empleados文档存在，再判断字段值
        || (exists(/databases/$(database)/documents/empleados/$(request.auth.uid)) && get(/databases/$(database)/documents/empleados/$(request.auth.uid)).data.avisos_leer == true)
        // 条件3：先确认aviso文档存在，再判断用户是否在数组中
        || (exists(/databases/$(database)/documents/negocios/$(negocioId)/Avisos/$(avisoId)) && request.auth.uid in get(/databases/$(database)/documents/negocios/$(negocioId)/Avisos/$(avisoId)).data.empleados);
    }
  }
}

方案3：使用可选链式调用（规则v2支持） #

通过get().data?的写法，避免文档不存在或字段缺失时抛错，此时条件会返回false，规则引擎会继续检查后续条件：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /negocios/{negocioId}/Avisos/{avisoId}/{fileName} {
      allow read: if 
        request.auth.uid == get(/databases/$(database)/documents/negocios/$(negocioId)).data?.uid_nagusia
        || get(/databases/$(database)/documents/empleados/$(request.auth.uid)).data?.avisos_leer == true
        || request.auth.uid in get(/databases/$(database)/documents/negocios/$(negocioId)/Avisos/$(avisoId)).data?.empleados;
    }
  }
}

测试代码（Angular） #

调整规则后，用目标用户测试：

import { AngularFireStorage } from '@angular/fire/compat/storage';

constructor(private storage: AngularFireStorage) {}

fetchImageUrl() {
  const filePath = 'negocios/3xPJtdaSnZZtJ2t1WY69/Avisos/GUinz0Tx8RQl8GUAixwx/fondo1.jpg';
  const storageRef = this.storage.ref(filePath);
  
  storageRef.getDownloadURL().subscribe(
    url => console.log('获取到图片URL:', url),
    error => console.error('权限验证失败:', error)
  );
}

内容的提问来源于stack exchange，提问作者Íñigo Enrique Hernández