Firestore监听结合规则get函数为何发送两次请求且首次报错？

核心原因 #

这是Firestore实时监听内置的权限预检查机制导致的：

• 当调用listen监听带查询限制（如LimitToLast(10)）的子集合时，Firestore会先发起一次无查询限制的预请求——目的是验证你是否具备访问该子集合的基础权限，而非仅验证最终返回的10条数据。
• 你的安全规则同时包含两个校验条件：
  • 通过get读取父friends_chats文档，验证当前用户是否在参与者列表中；
  • 强制要求查询条数<=10。
• 预请求不会携带limit参数，因此会触发request.query.limit <=10的校验失败，导致首次请求报错。而第二次请求是携带LimitToLast(10)的实际业务请求，同时满足参与者验证和条数限制，因此校验通过，这也是规则调试日志符合预期的原因。
• 移除规则中的get函数后，预请求的权限校验逻辑简化，Firestore可能直接通过预请求或优化掉该步骤，因此首次请求消失。

修复方案 #

调整安全规则，让预请求也能通过权限校验：

function isChatParticipant(chatId) {
  return get(/databases/$(database)/documents/friends_chats/$(chatId)).data.participants.has(request.auth.uid);
}

match /friends_chats/{chatId}/messages/{messageId} {
  allow read: if isChatParticipant(chatId) && 
    (request.query.limit == null || request.query.limit <= 10);
}

这里给条数限制增加了request.query.limit == null的判断，允许无limit参数的预请求通过基础权限校验，同时保留对实际业务请求的条数限制。

补充说明 #

Firestore的预检查机制是为了保障实时监听的稳定性：如果后续客户端调整查询参数（比如修改limit值），无需重新执行全量权限校验。模拟器中显示的首次请求报错不会影响实际业务逻辑的执行，属于正常的内部校验流程。

内容的提问来源于stack exchange，提问作者Waxx