Firestore子集合可CRUD但父集合权限拒绝问题排查

核心问题定位 #

你遇到的权限矛盾，大概率是递归通配符的集合组规则覆盖了父集合的原有权限逻辑——集合组规则的匹配优先级或条件范围没处理好，导致直接访问父集合时触发了不符合预期的权限校验。

具体排查与修复步骤 #

1. 调整规则匹配顺序

Firestore规则是从上到下匹配，第一个命中的规则生效。如果你的集合组规则（带{path=**}）写在了父集合独立规则的前面，会直接拦截父集合的访问请求。

错误示例（集合组规则优先）：

// 集合组规则先定义，会拦截父集合的直接访问
match /{path=**}/parent-collection/{doc} {
  allow read, write: if <集合组专属条件>;
}

// 父集合规则永远不会被触发
match /parent-collection/{doc} {
  allow read, write: if <原有父集合条件>;
}

正确示例（父集合规则优先）：

// 先定义父集合的独立规则，确保直接访问时优先匹配
match /parent-collection/{doc} {
  allow read, write: if <原有父集合条件>;
}

// 再定义集合组规则，仅匹配嵌套场景的子集合
match /{path=**}/parent-collection/{doc} {
  allow read, write: if <集合组专属条件>;
}

2. 细化集合组规则的条件范围

递归通配符{path=**}会匹配任意深度的前置路径，包括空路径（即顶级父集合）。如果你的集合组规则条件只适用于嵌套子集合（比如依赖父文档的某个字段），直接访问顶级父集合时会因条件不满足被拒绝。

可以通过path.size()区分顶级和嵌套场景：

match /{path=**}/parent-collection/{doc} {
  allow read, write: if 
    // 嵌套子集合场景：前置路径长度大于0，满足集合组条件
    (path.size() > 0 && <嵌套子集合专属条件>) || 
    // 顶级父集合场景：前置路径为空，沿用原有父集合条件
    (path.size() == 0 && <原有父集合条件>);
}

3. 用规则模拟器精准定位问题

打开Firebase控制台的规则模拟器，模拟父集合的读/写操作：

• 输入父集合的具体路径（比如/parent-collection/test-doc）
• 选择对应的用户认证状态（如果规则依赖auth）
• 执行测试后，模拟器会明确提示哪条规则的哪个条件不满足，直接定位问题根源。

4. 验证父集合访问路径的正确性

检查代码中访问父集合的路径是否正确，避免误写为嵌套路径：

// 正确的顶级父集合访问
FirebaseFirestore db = FirebaseFirestore.getInstance();
db.collection("parent-collection").get()
    .addOnSuccessListener(snapshot -> { /* 处理逻辑 */ })
    .addOnFailureListener(e -> { /* 错误处理 */ });

额外注意点 #

• 集合组索引仅影响查询性能，不会直接导致权限拒绝，无需为权限问题调整索引；
• 替换google-services.json仅影响项目关联，和权限规则无关，可排除此因素。

内容的提问来源于stack exchange，提问作者nikeight