Firestore基于Auth UID的用户集合安全规则失效问题咨询

可能的核心原因 #

1. 文档ID与Auth UID不匹配 #

如果注册时创建用户文档的代码没有严格使用当前登录用户的UID作为文档ID，比如误用了Firestore自动生成的ID（调用addDoc而非setDoc(doc(db, "users", user.uid), {...})），就会导致request.auth.uid == userId的条件不成立，规则直接拒绝读取操作。

2. 登录流程的读取操作类型不符合规则要求 #

原规则中的read权限覆盖单个文档读取和集合查询两种场景：

• 如果登录时的读取是查询整个users集合（而非直接获取当前用户的单个文档），Firestore会要求集合内所有文档都满足request.auth.uid == userId的条件，显然不可能，因此整个查询会被规则拦截。
• 正确的做法是登录后直接通过UID定位单个文档，或者查询时用where(firestore.FieldPath.documentId(), "==", user.uid)过滤出自己的文档。

3. Auth状态未完全初始化时触发读取 #

如果读取操作发生在Auth状态还未完成校验的时机（比如页面刚加载，onAuthStateChanged回调尚未触发），此时request.auth为null，原规则的request.auth != null && request.auth.uid == userId条件不满足，导致读取失败。放宽规则后只要Auth不为null就允许读取，等Auth状态稳定后就能正常访问。

排查步骤 #

• 核对文档ID与UID：直接在Firebase控制台查看users集合的文档ID，对比对应Auth用户的UID，确认两者完全一致。
• 检查读取代码逻辑：确认登录流程中是读取单个文档还是查询集合，若为查询，需确保添加了文档ID等于当前UID的过滤条件。
• 验证Auth状态时机：确保读取操作是在onAuthStateChanged确认用户已登录后执行的，避免在Auth状态未就绪时发起请求。
• 使用规则模拟器测试：在Firebase控制台的规则模拟器中，分别模拟单个文档读取（传入正确UID）和集合查询，观察规则是否允许访问，定位具体触发错误的操作类型。

内容的提问来源于stack exchange，提问作者levye