Firestore安全规则中多级角色权限实现问题咨询

需求与现有规则 #

要实现多级角色权限控制：

• admin：仅拥有所有文档的读取权限
• superadmin：拥有所有文档的CRUD权限

现有规则代码：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    function isSuperAdmin() {
      return request.auth != null && resource.data.admin == 'SuperAdmin'
    }
    function isAdmin(){
        return request.auth != null && resource.data.admin == 'Admin'
    }

    match /admins/{admin} {
      allow read, write, delete, update, create: if isSuperAdmin()
      allow read: if isAdmin()

    }
    match /{document=**} {
      allow create, read, update, delete: if isSuperAdmin()
      allow read: if isAdmin()
    }

  }
}

问题分析 #

结合规则逻辑和截图信息，核心问题有两个：

1. resource.data在create操作时无效 #

resource代表已存在的目标文档，执行create操作时目标文档还未创建，resource.data会返回空值。这导致isSuperAdmin()和isAdmin()在create场景下直接返回false，即便是superadmin也无法创建文档，和你模拟测试中出现的权限拒绝错误一致。

2. 角色判断对象错误 #

当前规则是检查被操作文档的admin字段，但从你的admins集合截图来看，角色信息存储在admins集合的用户文档中（每个文档对应一个管理员，admin字段标记角色）。正确逻辑应该是根据当前登录用户ID，去admins集合查询其对应的角色，而非依赖被操作文档的字段。

修正后的规则代码 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 获取当前用户的管理员角色
    function getAdminRole() {
      return get(/databases/$(database)/documents/admins/$(request.auth.uid)).data.admin;
    }

    function isSuperAdmin() {
      return request.auth != null && getAdminRole() == 'SuperAdmin';
    }

    function isAdmin() {
      return request.auth != null && getAdminRole() == 'Admin';
    }

    // admins集合权限：superadmin可CRUD，admin仅可读
    match /admins/{adminDoc} {
      allow read: if isAdmin() || isSuperAdmin();
      allow create, update, delete: if isSuperAdmin();
    }

    // 其他所有集合权限
    match /{document=**} {
      allow read: if isAdmin() || isSuperAdmin();
      allow create, update, delete: if isSuperAdmin();
    }
  }
}

修正说明 #

• 用get()函数根据当前用户ID（request.auth.uid）从admins集合获取对应角色，确保角色判断准确。
• 拆分read和write权限判断，避免原规则中权限覆盖的逻辑冲突。
• 解决create操作时resource为空的问题，角色判断依赖用户自身的管理员文档，而非目标文档。

内容的提问来源于stack exchange，提问作者flutternewbiee