React Native仿TikTok应用Firestore点赞权限规则配置求助

问题核心 #

你开发的TikTok类React Native应用中，用户点击点赞按钮时Firestore返回权限拒绝，原因是现有规则未正确授权已认证用户操作内容创作者的点赞相关数据（likes子集合或usersThatLiked数组）。

现有规则的问题分析 #

第一种规则 #

• 存在语法错误：popContestSubmissions的匹配块未闭合就直接定义hiphopContestSubmissions规则，导致规则无法正常解析。
• 路径匹配错误：{likes}和{usersThatLiked}是动态占位符，但实际需要匹配固定名称的集合（如likes），而非动态路径段。

第二种规则 #

• 若点赞操作是更新主文档的usersThatLiked数组，主文档（如mainFeed/{document}）的write规则仅允许创作者操作，已认证用户无法修改该字段，这是权限被拒的核心原因。
• 递归匹配likes=**虽覆盖子集合，但如果点赞逻辑是修改主文档而非子集合，这条规则无法解决问题。

第三种规则 #

• 权限过于宽松：允许任何已认证用户读写所有内容集合的文档及子集合，包括修改创作者的主内容文档，严重违反数据安全原则。

正确规则配置 #

根据点赞逻辑的不同，分两种场景给出规则：

场景1：点赞数据存储在likes子集合中 #

如果每个内容文档下有独立的likes子集合存储点赞用户的文档，规则如下：

rules_version = '2';

service cloud.firestore {
  match /databases/{database}/documents {
    // 用户文档：仅本人可写，公开可读
    match /user/{uid} {
      allow read: if true;
      allow write, delete: if request.auth.uid == uid;
    }

    // 通用内容集合规则：主文档仅创作者可写，公开可读
    match /{contentCollection}/{document} {
      // 匹配所有内容集合（rockContestSubmissions、mainFeed等）
      allow read: if true;
      allow write, delete: if request.auth.uid == resource.data.creator;

      // 允许已认证用户写入该内容下的likes子集合
      match /likes/{likeDoc} {
        allow read: if true;
        allow write, delete: if request.auth != null;
      }
    }
  }
}

• 用通配符{contentCollection}统一匹配所有内容集合，避免重复代码。
• 主文档仍仅允许创作者修改，保证内容安全；likes子集合开放给所有已认证用户操作。

场景2：点赞数据存储在主文档的usersThatLiked数组中 #

如果点赞是通过更新主文档的usersThatLiked数组实现，需允许已认证用户仅修改该字段，而非整个文档：

rules_version = '2';

service cloud.firestore {
  match /databases/{database}/documents {
    match /user/{uid} {
      allow read: if true;
      allow write, delete: if request.auth.uid == uid;
    }

    match /{contentCollection}/{document} {
      allow read: if true;
      // 主文档仅创作者可修改，除非是更新点赞相关字段
      allow write: if (request.auth.uid == resource.data.creator) || 
                     (request.auth != null && 
                      request.resource.data.diff(resource.data).affectedKeys().hasOnly(["usersThatLiked", "likesCount"]));
      allow delete: if request.auth.uid == resource.data.creator;
    }
  }
}

• 通过request.resource.data.diff(resource.data).affectedKeys().hasOnly()限制用户仅能修改usersThatLiked和likesCount（点赞数）字段，保证其他字段仍由创作者控制。
• 确保仅已认证用户可执行点赞操作。

额外建议 #

1. 测试规则时使用Firestore控制台的规则模拟器，模拟已认证用户的点赞操作，验证权限是否生效。
2. 如果点赞是添加/移除用户ID到数组，建议使用arrayUnion和arrayRemove操作，避免并发更新冲突，同时规则中可进一步验证操作合法性（比如只能添加当前用户的UID）。

内容的提问来源于stack exchange，提问作者Robert Zobrist