Firebase集合组查询遭安全规则拦截：权限拒绝问题排查

问题原因 #

你的安全规则写法无法适配集合组查询的权限校验逻辑：

• 集合组查询会遍历所有名为userRooms的子集合，当前规则仅匹配/rooms/{docId}/userRooms/{docId}这一特定路径下的子集合，覆盖范围不完整。
• Firestore要求集合组查询的安全规则必须与查询的过滤条件对齐，你当前规则未验证uid字段与当前用户的关联，不符合权限校验要求。

修复方案 #

修改安全规则，针对userRooms集合组添加明确的权限规则，同时校验用户身份与数据的匹配性：

// 匹配所有路径下的userRooms子集合，适配集合组查询
match /{path=**}/userRooms/{userRoomId} {
  allow read: if request.auth != null && resource.data.uid == request.auth.uid;
  allow write: if request.auth != null && resource.data.uid == request.auth.uid;
}

// 保留原有rooms集合的规则（按需调整权限范围）
match /rooms/{docId} {
  allow read, write: if request.auth != null;
}

关键说明 #

• /{path=**}/userRooms/{userRoomId}的写法可以覆盖所有层级下的userRooms子集合，完全适配集合组查询的范围。
• 规则中request.auth != null确保用户已完成认证，resource.data.uid == request.auth.uid则验证用户只能访问属于自己的userRooms文档，与你代码中where('uid', '==', authenticatedUser.uid)的查询条件完全匹配，符合Firestore的权限校验逻辑。
• 原规则中直接allow read;的写法过于宽松，存在数据泄露风险，建议补充身份校验。

内容的提问来源于stack exchange，提问作者1110