MongoDB App Services Flexible Sync角色不兼容报错求助

错误原因 #

你遇到的ProtocolErrorCode=201错误，核心原因是Flexible Sync不支持在角色的read规则顶层使用逻辑运算符（如$or）。Sync的权限验证依赖于可映射到客户端订阅条件的明确过滤规则，顶层$or无法被Sync解析为合法的同步权限逻辑，因此被判定为不兼容角色。

另外，你的defaultRoles与集合级rules存在叠加冲突，空的applyWhen也会导致角色应用逻辑模糊，进一步触发错误。

解决方案 #

你需要拆分角色，将owner和supervisor的权限拆分为两个独立的同步兼容角色，同时清理冲突的全局默认角色：

修改后的角色配置

{
  "rules": {
    "Activity": [
      {
        "name": "owner_activity_full_access",
        "applyWhen": {},
        "read": { "ownerID": "%%user.id" },
        "write": { "ownerID": "%%user.id" }
      },
      {
        "name": "supervisor_activity_read_access",
        "applyWhen": {},
        "read": { "supervisorID": "%%user.id" },
        "write": false
      }
    ]
  },
  "defaultRoles": []
}

关键调整说明

1. 拆分角色：将原有的单一角色拆分为两个独立角色，每个角色的read规则仅使用单一字段匹配，符合Flexible Sync对权限规则的要求（可直接映射为客户端订阅条件）。
2. 禁用默认角色：清空defaultRoles，避免全局默认角色与集合级规则产生权限叠加冲突。如果需要保留全局默认规则，确保其read/write逻辑同样是单一字段匹配的同步兼容格式。
3. 明确写权限：给supervisor角色设置write: false，明确拒绝写权限，替代原有的隐含拒绝逻辑。

额外注意事项 #

• 若需通过用户属性区分supervisor（而非仅依赖Activity的supervisorID字段），可在applyWhen中添加过滤条件，例如：

  "applyWhen": { "user.custom_data.is_supervisor": true }
  

• 修改角色后，需重启Flexible Sync服务，并验证客户端的订阅逻辑是否与新的权限规则匹配。
• 测试权限：分别用owner和supervisor账号验证读写权限是否符合预期，同时检查App Services日志是否仍有错误。

内容的提问来源于stack exchange，提问作者Chris