Firebase Firestore权限拒绝异常排查求助

问题核心 #

调用Firestore获取users集合中当前用户数据时触发权限拒绝异常，已尝试开放规则但未解决，需求是通过Riverpod根据用户数据存在与否跳转注册/首页页面。

可能原因及解决方案 #

1. 认证状态未就绪就发起Firestore请求 #

当前规则要求request.auth.uid != null，但App启动时Firebase Auth的状态可能还未初始化完成，此时auth.currentUser为null，导致请求未携带有效认证信息被规则拦截。

解决方法：
先监听Auth状态，确保用户认证状态稳定后再请求Firestore数据。可以在Riverpod中结合StreamProvider监听认证状态：

// 监听Auth状态变化
final authStateProvider = StreamProvider<User?>((ref) {
  return FirebaseAuth.instance.authStateChanges();
});

// 基于稳定的Auth状态获取用户数据
final userDataAuthProvider = FutureProvider<UserModel?>((ref) async {
  final authState = ref.watch(authStateProvider);
  // 等待Auth状态完成，避免null值
  final currentUser = await authState.firstWhere((user) => user != null || true);
  
  if (currentUser == null) {
    return null;
  }
  
  DocumentSnapshot<Map<String, dynamic>> userData =
      await FirebaseFirestore.instance.collection('users').doc(currentUser.uid).get();
  
  return userData.data() != null 
      ? UserModel.fromMap(userData.data() as Map<String, dynamic>) 
      : null;
});

2. 优化Firestore规则（兼顾安全与需求） #

当前规则过度开放（允许所有已认证用户读写所有文档），建议改成仅允许用户访问自己的文档，既符合最小权限原则，也能避免潜在的权限逻辑问题：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 仅允许用户读写自己的users文档
    match /users/{userId} {
      allow read, write: if request.auth != null && request.auth.uid == userId;
    }
  }
}

3. 代码层面拦截无效请求 #

在getUserData方法中先判断当前用户是否存在，避免传入null的uid发起无效请求：

Future<UserModel?> getUserData() async {
  final currentUser = FirebaseAuth.instance.currentUser;
  // 用户未登录直接返回null
  if (currentUser == null) {
    return null;
  }
  
  DocumentSnapshot<Map<String, dynamic>> userData =
      await FirebaseFirestore.instance.collection('users').doc(currentUser.uid).get();
  
  return userData.data() != null 
      ? UserModel.fromMap(userData.data() as Map<String, dynamic>) 
      : null;
}

4. Riverpod状态处理优化 #

确保userDataAuthProvider的状态处理逻辑覆盖所有场景，包括Auth状态未就绪的情况：

home: ref.watch(userDataAuthProvider).when(
      data: (user) {
        return user == null ? const RegisterScreen() : const HomeScreen();
      },
      error: (err, trace) {
        // 可额外处理认证相关错误，引导用户登录
        if (err.toString().contains('permission-denied')) {
          return const LoginScreen();
        }
        return Center(child: Text(err.toString()));
      },
      loading: () => const CircularProgressIndicator(),
    ),

内容的提问来源于stack exchange，提问作者Hama Sabah