Firestore使用Array Contains查询时权限被拒问题求助

问题根源分析 #

你遇到的权限拒绝问题主要来自两个规则配置的错误：

1. 第一个规则的get()调用问题
   Firestore的安全规则在处理查询时，会对所有可能匹配查询条件的文档执行规则检查（也就是所谓的“提前过滤”）。你用get()去读取allowedusers子集合的文档，每检查一个_accounts文档就会触发一次额外的读取操作，这不仅会快速消耗你的Firestore配额，而且当查询涉及多个文档时，很容易触发Firestore的限制，导致权限拒绝。这种嵌套读取的方式也完全不符合Firestore规则的最佳实践。

2. 第二个规则的逻辑错误
   你写的resource.data.userids == request.auth.uid是把数组和单个字符串做相等比较，这永远会返回false——因为userids是数组类型，而request.auth.uid是字符串，所以所有查询都会被直接拒绝。

正确的安全规则配置 #

既然你的查询是基于userids数组的arrayContains，那么安全规则只需要验证当前用户的UID存在于这个数组中即可，完全不需要依赖子集合的get()操作。正确的规则如下：

match /_accounts/{accountid} {
  allow read: if request.auth != null && request.auth.uid in resource.data.userids;
}

这个规则的逻辑很直接：

• 首先确保用户已经登录（request.auth != null）
• 然后检查当前用户的UID是否在该账户文档的userids数组中，这和你用arrayContains: _user.id的查询逻辑完全匹配，Firestore会自动完成“提前过滤”，确保只有符合条件的文档被返回，同时不会触发额外的读取操作，效率和可靠性都更高。

对应的Dart代码验证 #

你原来的Dart代码不需要修改（如果用的是新版本FlutterFire，建议把getDocuments()换成get()，旧版本也可以正常运行）：

QuerySnapshot querySnapshot = await firestore.collection('_accounts')
  .where('userids', arrayContains: _user.id)
  .limit(5)
  .get();

关于allowedusers子集合的补充建议 #

如果你需要保留allowedusers子集合来存储用户的详细权限信息（比如除了访问权限外的其他配置），建议继续维护userids数组作为查询和规则检查的“索引字段”——因为用数组做查询和规则检查的性能远高于嵌套读取子集合。

如果必须完全依赖allowedusers子集合来判断权限，那你无法使用arrayContains查询（因为规则里的get()无法支持批量查询的提前过滤），这时候需要调整数据结构：比如在每个用户的个人文档中存储他们有权访问的账户ID列表，然后先查询用户文档获取账户ID，再逐个读取对应的账户文档，同时规则可以验证账户ID存在于用户文档的列表中。不过这种方式的效率远低于用数组直接查询。

内容的提问来源于stack exchange，提问作者user3836415