Firestore自动创建GroupCollection索引引发权限拒绝问题求助

问题根源 #

你遇到的PERMISSION_DENIED错误，核心原因不是索引自动添加的order by __name__，而是你的安全规则没有覆盖到collectionGroup查询的目标子集合。

看你的规则：

match /collectionName/{abc} {
  allow read: if true;
}

这个规则只授权了collectionName下的顶级文档读取权限，但你的代码是查询所有名为otherDetails的子集合（collectionGroup('otherDetails')），这类跨父集合的子集合查询，需要单独为子集合设置安全规则，当前规则根本没匹配到otherDetails子集合的文档，自然会触发权限拒绝。

另外错误日志里的查询描述写的是collectionGroup=collectionName应该是日志笔误，实际你的查询目标是otherDetails子集合。

解决方案 #

修改Firestore安全规则，添加针对所有otherDetails子集合的读取授权：

// 授权所有名为otherDetails的子集合读取权限
match /{parent=**}/otherDetails/{docId} {
  allow read: if true;
}

// 保留原有的顶级集合规则（如果需要的话）
match /collectionName/{abc} {
  allow read: if true;
}

{parent=**}是通配符，匹配任意层级的父集合，确保所有名为otherDetails的子集合都能被授权读取。

关于order by __name__的解释 #

Firestore在处理未指定排序条件的collection group查询时，会自动添加order by __name__（即按文档ID排序），原因有两个：

1. 保证查询结果的稳定性：如果没有明确排序，Firestore需要一个固定的排序规则来避免每次返回结果顺序不一致。
2. 满足索引要求：collection group查询必须使用复合索引，而默认的排序字段（name）会被自动包含在索引中，这是Firestore的内置机制，属于正常行为，不会导致权限拒绝，也不会过滤掉符合条件的文档。

你提到另一个类似查询能正常运行，大概率是那个查询的目标子集合已经被对应的安全规则覆盖了，比如规则里明确匹配了该子集合的路径。

内容的提问来源于stack exchange，提问作者mathems32