Cloud Firestore嵌套集合安全规则配置权限问题排查求助

问题背景 #

集合结构 #

• raffle-holder
  • {uid}
    • games
      • {game}
        • {game data}
    • user
      • data
        • {user data}
    • {raffle-holder data}

当前安全规则 #

match /raffle-holder/{uid} {
  allow read: if request.auth.uid == uid;
  
  match /games/{document=**} {
    allow read, write: if request.auth.uid == uid;
  }
  
  match /user/data {
    allow read,write: if request.auth.uid == uid;
  }
}

问题现象 #

规则模拟器测试已认证用户正常，但调用以下Flutter代码获取/raffle-holder/{uid}/games/{game}数据时，出现Missing or insufficient permissions错误，变量已验证正确。

void getUserTixs() {
  final userId = FirebaseAuth.instance.currentUser!.uid;
  final gameRef = db
    .collection("raffle-holder")
    .doc(userId)
    .collection("games")
    .doc(widget.gameId);
  gameRef.get().then((value) {
    if (value.exists) {
      gameRef.snapshots().listen((event) {
        if (event.data() != null) {
          setState(() {
            userTixs = event.data()!['tixPurchased'];
          });
        }
      });
    }
  }, onError: (e) {
    print(e);
  });
}

调试步骤与解决方案 #

1. 修正安全规则路径匹配 #

将嵌套的games规则改为明确路径写法，避免通配符可能的匹配歧义：

match /raffle-holder/{uid} {
  allow read: if request.auth.uid == uid;
  
  match /games/{gameId} {
    allow read, write: if request.auth.uid == uid;
  }
  
  match /user/data {
    allow read, write: if request.auth.uid == uid;
  }
}

如果需要匹配games下的所有子层级，可保留{document=**}，但明确单文档匹配更稳妥。

2. 避免认证状态竞态问题 #

直接使用currentUser!可能存在App启动时Auth状态未同步的情况，导致请求携带的认证信息无效。改为监听Auth状态变化后再发起请求：

void getUserTixs() {
  FirebaseAuth.instance.authStateChanges().listen((user) {
    if (user != null) {
      final userId = user.uid;
      final gameRef = db
          .collection("raffle-holder")
          .doc(userId)
          .collection("games")
          .doc(widget.gameId);
      gameRef.get().then((value) {
        if (value.exists) {
          gameRef.snapshots().listen((event) {
            if (event.data() != null) {
              setState(() {
                userTixs = event.data()!['tixPurchased'];
              });
            }
          });
        }
      }, onError: (e) {
        print(e);
      });
    }
  });
}

3. 开启规则调试日志定位根源 #

在Firebase控制台的Firestore规则页面开启调试模式，执行代码请求后查看控制台输出，可获取以下关键信息：

• 请求路径是否与规则匹配路径一致
• request.auth是否为null
• uid是否与路径中的{uid}匹配

4. 核对路径与文档存在性 #

再次确认：

• widget.gameId对应games集合下的文档确实存在
• 集合名称（如raffle-holder、games）拼写与Firestore后台完全一致（路径大小写敏感）

内容的提问来源于stack exchange，提问作者JGTechie