Firestore安全规则跨环境表现不一致，生产环境权限被拒

问题原因 #

1. 查询规则不匹配：Firestore的批量查询（如where("groupId", "in", ...)）要求规则能通过查询条件直接验证权限，而当前规则依赖resource.data.groupId——这个字段仅在单个文档读取时解析，批量查询时Firestore无法逐个校验每个匹配文档的groupMembership状态，导致权限校验失败。
2. 文档缺失风险：checkGroupStatus函数中使用get()时未做存在性检查，如果某个groupMemberships文档不存在，会直接抛出错误触发权限拒绝。

修复方案 #

方案1：通过自定义Auth Token传递活跃群组ID #

将用户的activeGroupIds嵌入自定义Auth Token，让规则直接校验查询的groupId是否在用户的活跃群组列表中，同时验证成员状态：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 通用鉴权函数
    function isAuthenticated() {
      return request.auth != null && request.auth.uid != null;
    }

    // 校验用户是否为群组活跃成员
    function isActiveGroupMember(groupId, userId) {
      // 先检查成员文档是否存在，避免因文档缺失报错
      const membershipDoc = get(/databases/$(database)/documents/groupMemberships/$(groupId+userId), {exists: true});
      return membershipDoc.data.status == "active";
    }

    // 保留原有其他规则...

    // 调整Events读取规则
    match /events/{eventId} {
      allow read: if isAuthenticated() && 
        // 确保查询的groupId在用户的活跃群组列表中（从自定义Token获取）
        resource.data.groupId in request.auth.token.activeGroupIds &&
        // 二次校验成员状态
        isActiveGroupMember(resource.data.groupId, request.auth.uid);
    }
  }
}

方案2：从用户Profile读取活跃群组ID #

如果无法修改Auth Token，可以将用户的activeGroupIds存储在profiles文档中，规则通过读取该文档校验权限：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    function isAuthenticated() {
      return request.auth != null && request.auth.uid != null;
    }

    // 获取用户的活跃群组列表
    function getUserActiveGroups(userId) {
      const userProfile = get(/databases/$(database)/documents/profiles/$(userId), {exists: true});
      return userProfile.data.activeGroupIds;
    }

    function isActiveGroupMember(groupId, userId) {
      const membershipDoc = get(/databases/$(database)/documents/groupMemberships/$(groupId+userId), {exists: true});
      return membershipDoc.data.status == "active";
    }

    // 保留原有其他规则...

    match /events/{eventId} {
      allow read: if isAuthenticated() && 
        resource.data.groupId in getUserActiveGroups(request.auth.uid) &&
        isActiveGroupMember(resource.data.groupId, request.auth.uid);
    }
  }
}

关键注意事项 #

• Firestore规则不支持动态遍历in数组中的每个元素做get()校验，必须确保前端查询的activeGroupIds与用户实际拥有活跃权限的群组ID完全一致，否则批量查询会被拒绝。
• 生产环境中要确保groupMemberships和profiles文档存在且数据正确，避免因文档缺失导致get()抛出错误。
• 使用Firestore规则模拟器测试批量查询场景，提前验证规则逻辑是否符合预期。

内容的提问来源于stack exchange，提问作者Yordan Mansarliyski