如何基于其他文档定义Firestore Security Rules且保留查询与实时更新能力

针对你的Firestore知识图谱权限与实时监听问题，有两种可行方案，无需在节点/边中重复存储权限信息：

方案1：先获取用户有权限的图谱列表，再逐个监听节点/边 #

实现步骤 #

• 首先监听当前用户在所有图谱中的权限文档：/graphs/{graphId}/users/{request.auth.uid}，通过快照获取用户拥有权限的所有graphId。
• 对每个获取到的graphId，分别建立实时监听：
  • 监听/graphs/{graphId}/nodes集合的变化
  • 监听/graphs/{graphId}/edges集合的变化
• 当用户的权限发生变化（新增/移除图谱权限）时，动态添加/移除对应的节点/边监听。

安全规则保持原逻辑 #

match /graphs/{graphId}/nodes/{nodeId} {
  allow read: hasGraphPermission();
}
match /graphs/{graphId}/edges/{edgeId} {
  allow read: hasGraphPermission();
}
function hasGraphPermission() {
  return exists(/databases/$(database)/documents/graphs/$(graphId)/users/$(request.auth.uid));
}

这种方式下，每个监听都是针对具体图谱的集合查询，Firestore能验证每个请求的权限，实时更新可以正常生效。

方案2：强制查询携带图谱ID约束，配合规则验证 #

修改安全规则 #

在规则中要求查询必须指定当前要访问的graphId，确保规则能匹配到具体的权限文档：

match /graphs/{graphId}/nodes/{nodeId} {
  allow read: hasGraphPermission() && request.query.where('graphId', '==', graphId);
}
match /graphs/{graphId}/edges/{edgeId} {
  allow read: hasGraphPermission() && request.query.where('graphId', '==', graphId);
}
function hasGraphPermission() {
  return exists(/databases/$(database)/documents/graphs/$(graphId)/users/$(request.auth.uid));
}

注意：需要在每个节点/边文档中存储所属的graphId字段（这是必要的元数据，不属于重复存储权限信息）。

应用层查询逻辑 #

用户查询节点/边时，必须在查询条件中明确指定graphId，例如：

// 示例：查询指定图谱的节点
db.collectionGroup('nodes').where('graphId', '==', targetGraphId).onSnapshot(snapshot => {
  // 处理实时更新
});

这种方式利用Firestore规则的查询验证，确保只有携带合法graphId的查询能通过，同时权限检查依然依赖users集合，避免了大量权限同步写入。

为什么原规则无法生效 #

Firestore安全规则不是过滤器，当你执行跨多个图谱的节点/边查询时（比如查询所有nodes集合），规则无法逐个验证每个文档的graphId对应的权限，会直接拒绝整个查询。而上述两种方案都确保了查询是针对单个图谱的，规则能准确验证权限。

内容的提问来源于stack exchange，提问作者KindaOk