Cloud Firestore规则配置：如何验证管理员权限以限制写入

你的思路方向是对的，但Firestore规则引擎并不支持直接对整个集合做map或includes这类遍历操作——这会带来性能和成本问题，而且规则本身也不允许这种写法。下面给你两种可行的实现方案，优先推荐第一种更高效的方式：

方案一：用用户UID作为管理员集合的文档ID（推荐） #

这种方式最直接高效，因为Firestore根据文档ID查询是O(1)的操作。假设你的管理员集合名为admins，每个管理员的文档ID就是他们的用户UID（比如admins/abc123xyz，其中abc123xyz是某个管理员的UID），规则可以这么写：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 封装通用的管理员验证逻辑，方便复用
    function isAdmin() {
      // 先确保用户已登录，再检查该用户UID对应的管理员文档是否存在
      return request.auth != null && exists(/databases/$(database)/documents/admins/$(request.auth.uid));
    }

    // 你的latest-news集合规则
    match /latest-news/{news-id} {
      allow read: if true;
      allow write: if isAdmin();
    }

    // 管理员集合本身的规则：只有管理员能修改，防止普通用户私自添加权限
    match /admins/{admin-id} {
      allow read: if true;
      allow write: if isAdmin();
    }
  }
}

方案二：管理员文档用自定义ID，字段存储用户UID #

如果你的管理员集合文档ID不是用户UID，而是用了其他ID，并且每个文档里有uid字段存储管理员的用户UID，那可以通过查询来验证：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    function isAdmin() {
      return request.auth != null && 
        // 检查admins集合中是否存在uid匹配当前用户的文档
        exists(/databases/$(database)/documents/admins, where('uid', '==', request.auth.uid));
    }

    match /latest-news/{news-id} {
      allow read: if true;
      allow write: if isAdmin();
    }

    match /admins/{admin-id} {
      allow read: if true;
      allow write: if isAdmin();
    }
  }
}

关键说明 #

• 为什么不能用你最初的写法？Firestore规则引擎不支持遍历整个集合做映射或包含检查，这种操作会遍历所有管理员文档，不仅效率低，还可能触发不必要的读取费用，规则本身也会报错。
• 一定要先判断request.auth != null：未登录的用户肯定没有管理员权限，提前过滤可以避免无效的查询。
• 管理员集合的权限要锁死：必须只有管理员才能修改admins集合，否则普通用户可以自己添加文档成为管理员，完全绕过验证。

内容的提问来源于stack exchange，提问作者maeaec