Cloud Firestore权限规则问题：跨用户读取主文档及子集合时权限验证失败

嘿，你这明显是踩了Firestore规则路径匹配的一个经典坑——你的规则根本没覆盖到你要访问的那个主文档！

核心问题出在规则的匹配范围 #

你当前写的规则是：

match /users/{userId}/{documents=**} {
  allow read: if request.auth.token.email in resource.data.shareWith;
  allow read, write: if request.auth.uid == userId;
}

这里的{documents=**}是用来递归匹配/users/{userId}下面所有子集合、子文档的通配符，但/users/{userId}这个主文档本身（也就是你用doc(db, 'users', uid)要读取的文档），根本不在这个规则的匹配范围内！Firestore的规则是精确匹配路径的，主文档和它的子路径是分开的，所以你读取主文档时，走的是默认的拒绝规则，自然会报权限错误。

为什么你的测试会让你困惑？ #

你说设置allow read: if true时请求能成功，大概率是你当时不小心把这个规则写在了能覆盖主文档的路径里（比如match /users/{userId}）；而你在match /users/{userId}/{documents=**}里试的allow read: if resource.data.test == true完全没用，因为这个规则根本就没被应用到主文档的读取请求上，当然不会生效。

正确的规则写法 #

你需要拆分规则，同时覆盖主文档和它的所有子路径：

// 专门处理 /users/{userId} 这个主文档的权限
match /users/{userId} {
  // 允许文档所有者读写，或者被分享的用户读取
  allow read: if request.auth.uid == userId || request.auth.token.email in resource.data.shareWith;
  allow write: if request.auth.uid == userId;
}

// 处理主文档下所有子集合、子文档的权限
match /users/{userId}/{documents=**} {
  // 子路径的文档要验证主文档的分享权限，所以用get()拉取主文档数据
  allow read: if request.auth.uid == userId || request.auth.token.email in get(/databases/$(database)/documents/users/$(userId)).data.shareWith;
  allow write: if request.auth.uid == userId;
}

这里要注意，子路径的规则里不能直接用resource.data.shareWith——因为子文档的resource指的是它自己的数据，不是主文档的，所以得用get()函数主动获取主文档的shareWith数组来做验证。

怎么调试规则里的变量？ #

Firebase控制台自带的规则模拟器就是最好的调试工具：你可以模拟一个get请求到目标主文档路径，一步步看规则的执行逻辑；另外，还可以在规则里加debug()语句，比如：

match /users/{userId} {
  allow read: if debug(request.auth.token.email in resource.data.shareWith) || debug(request.auth.uid == userId);
}

运行模拟器测试后，就能在控制台看到debug()输出的具体值，帮你搞清楚每个条件的判断结果。

内容来源于stack exchange