Firestore安全规则问题：更新其他用户memberships数组字段权限验证失败

背景 #

应用包含users集合，每个已认证用户对应集合中的一个文档。

需求目标 #

安全规则需满足：

• 已认证用户可更新自身文档（auth.uid与文档ID匹配）
• 任何已认证用户可更新其他用户文档的单个字段memberships，该字段为数组，每个元素是包含groupId和status的映射

问题描述 #

尝试更新其他用户文档的memberships字段时，触发Firebase权限验证失败，怀疑是数组映射结构或规则/代码逻辑导致问题。

现有代码（5月12日更新） #

Firestore安全规则 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 允许已认证用户读取所有用户文档
    match /users/{userId} {
      allow read: if request.auth != null;
    }
    
    // 允许用户更新自身文档
    match /users/{userId} {
      allow update: if request.auth.uid == userId;
    }
    
    // 允许已认证用户更新任何用户的memberships字段
    match /users/{userId} {
      allow update: if request.auth != null && request.resource.data.diff(resource.data).affectedKeys().hasOnly('memberships');
    }
  }
}

Flutter更新函数 #

Future<FailureOrSuccess> _confirmUpdateValidityAndUpdate(
    User user, Group group) async {

  MemberOfGroup memberInUser = MemberOfGroup.invited(groupId: group.id);

  ValueResult<User> userResult =
      user.addOrUpdateMembership(memberInUser);

  if (userResult.isFailure) {
    return const GroupFailure.invalidMembershipUpdate();
  }

  User userForUpdate = userResult.value;

  List<Map<String, dynamic>> userMemberships = [
    for (var membership in userForUpdate.memberships)
      MemberOfGroupDto.fromDomain(membership).toJson()
  ];
  
  try {
    print(user.id);
    // 试过set和update方法，均触发权限错误
    await _firestore
        .collection('users')
        .doc(user.id)
        .set({'memberships': userMemberships});
    return const Success();
  } on FirebaseException catch (e) {
    return mapFirebaseExceptionToFailure(e);
  }
}

补充说明 #

memberships字段类型为List<Map<String, dynamic>>，暂不确定是否影响规则验证。

错误信息 #

触发权限拒绝错误：PERMISSION_DENIED: 权限缺失或不足。

解决方案 #

问题根源 #

1. 方法使用错误：代码中使用set({'memberships': ...})会直接替换整个文档（未指定合并参数时），此时Firestore会认为你在修改整个文档，而非仅更新单个字段，不符合规则中“仅修改memberships”的要求。
2. 规则匹配逻辑：Firestore规则从上到下匹配第一个符合条件的规则，更新其他用户文档时，第一条更新规则（request.auth.uid == userId）不通过，但第三条规则需要确保操作仅修改指定字段。

修复步骤 #

1. 修改Flutter代码：使用正确的更新方式

将set方法替换为update，或给set添加合并参数，确保仅更新目标字段：

// 方案一：使用update方法（推荐）
await _firestore
    .collection('users')
    .doc(user.id)
    .update({'memberships': userMemberships});

// 方案二：带merge参数的set方法
await _firestore
    .collection('users')
    .doc(user.id)
    .set({'memberships': userMemberships}, SetOptions(merge: true));

两种方式都会保留文档原有字段，仅更新memberships，符合规则中字段修改的限制。

2. 优化安全规则（可选，增加结构校验）

为了确保memberships的结构符合要求，可在规则中添加结构校验，防止恶意修改：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userId} {
      allow read: if request.auth != null;
      
      // 允许用户更新自身文档
      allow update: if request.auth.uid == userId;
      
      // 允许已认证用户仅更新memberships字段，且字段结构合法
      allow update: if request.auth != null 
        && request.resource.data.diff(resource.data).affectedKeys().hasOnly('memberships')
        && request.resource.data.memberships is list
        && request.resource.data.memberships.every(
            membership => membership is map 
            && membership.groupId is string 
            && membership.status is string
          );
    }
  }
}

3. 验证规则匹配

Firestore会匹配第一个满足条件的规则，当前两个allow update规则逻辑独立：要么用户更新自身文档，要么更新其他用户的memberships字段，顺序不影响最终权限判断。

内容的提问来源于stack exchange，提问作者Charlie Page