Firestore规则配置问题：文档创建者读写权限设置失败求助

你遇到的权限拒绝问题核心在于Firestore安全规则的查询兼容性要求：

当你用stream: FirebaseFirestore.instance.collection('accounts').orderBy('siteName').snapshots()查询整个accounts集合时，Firestore会检查这个查询是否能保证所有返回的文档都符合规则条件（即request.auth.uid == resource.data.userId）。但你的查询没有添加任何过滤条件，Firestore无法预先确认返回的文档都属于当前用户，因此会直接拒绝整个查询——哪怕实际所有文档的userId都匹配当前用户，规则也不会逐个检查文档，而是从查询本身的合法性判断。

另外，原规则缺少对文档创建阶段的验证：如果创建accounts文档时没有强制userId必须等于当前用户的uid，存在被篡改的风险（比如恶意用户手动设置userId为他人的uid），这也可能导致后续权限判断异常。

针对用户隔离数据的需求，有两种可靠的实现方式：

方案1：保持accounts为根集合（需修正查询+规则） #

修正后的规则 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{uid} {
      allow read, write: if request.auth != null && request.auth.uid == uid;
    }
    
    match /accounts/{docId} {
      // 创建时强制userId等于当前用户uid
      allow create: if request.auth != null && request.resource.data.userId == request.auth.uid;
      // 读写时验证当前用户是文档所有者
      allow read, update, delete: if request.auth != null && resource.data.userId == request.auth.uid;
    }
  }
}

修正后的Flutter查询 #

必须添加userId过滤，确保查询只请求当前用户的文档：

StreamBuilder(
  stream: FirebaseFirestore.instance
      .collection('accounts')
      .where('userId', isEqualTo: FirebaseAuth.instance.currentUser!.uid)
      .orderBy('siteName')
      .snapshots(),
  // ... 其他代码
)

方案2：使用用户子集合（推荐） #

你已经尝试的子集合方案是Firestore官方推荐的用户数据隔离方式，优势在于：

• 权限判断基于路径/users/{uid}/accounts，无需依赖文档字段，性能更高
• 查询时天然限定在当前用户的子集合内，避免忘记加过滤的风险
• 规则逻辑更简洁，不易出错

优化后的子集合规则（可简化） #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{uid}/{document=**} {
      allow read, write: if request.auth != null && request.auth.uid == uid;
    }
  }
}

对应的Flutter查询 #

StreamBuilder(
  stream: FirebaseFirestore.instance
      .collection('users')
      .doc(FirebaseAuth.instance.currentUser!.uid)
      .collection('accounts')
      .orderBy('siteName')
      .snapshots(),
  // ... 其他代码
)

内容的提问来源于stack exchange，提问作者Deucal