Flutter/Firestore读写权限异常：用户自有任务展示失败

一、先核对Firestore规则核心逻辑 #

先确认规则是否严格绑定用户UID校验，常见错误点：

• 规则中是否正确引用用户UID：必须用request.auth.uid，别写错成request.auth.id这类无效字段
• 读写权限是否都做了UID匹配：
  • 创建文档时：要求写入的文档必须包含uid字段，且值等于当前用户的request.auth.uid
  • 读写删操作：要求目标文档的uid字段等于当前用户UID
    参考正确规则示例：

  rules_version = '2';
  service cloud.firestore {
    match /databases/{database}/documents {
      match /tasks/{task} {
        allow create: if request.auth != null && request.resource.data.uid == request.auth.uid;
        allow read, update, delete: if request.auth != null && resource.data.uid == request.auth.uid;
      }
    }
  }
  

  注意：如果规则拆分了get和list权限，要确保list规则同样要求查询带UID过滤，否则列表读取会被拒绝。

二、检查Flutter代码的数据流实现 #

1. 创建任务时的UID写入 #

创建task文档时，必须显式写入当前用户的UID字段，否则规则会直接拒绝创建请求：

final currentUser = FirebaseAuth.instance.currentUser;
if (currentUser == null) {
  // 处理未登录场景，比如跳转登录页
  return;
}

await FirebaseFirestore.instance.collection('tasks').add({
  'title': taskTitle,
  'description': taskDesc,
  'uid': currentUser.uid, // 关键：必须携带当前用户UID
  'createdAt': Timestamp.now(),
});

2. 查询任务时的UID过滤 #

读取任务列表时，必须添加where条件过滤当前用户的UID，否则规则会拒绝无过滤的批量读取请求：

final currentUser = FirebaseAuth.instance.currentUser;
if (currentUser == null) {
  // 处理未登录场景
  return [];
}

final tasksQuery = FirebaseFirestore.instance
    .collection('tasks')
    .where('uid', isEqualTo: currentUser.uid) // 关键：只查询当前用户的任务
    .orderBy('createdAt', descending: true);

final snapshot = await tasksQuery.get();
// 处理查询结果

三、常见隐藏坑点排查 #

• 登录状态延迟：应用启动时若未等待FirebaseAuth初始化完成就发起请求，currentUser可能为null，导致规则中request.auth为空触发拒绝。解决方式：用FirebaseAuth.instance.authStateChanges()监听登录状态，确认用户登录后再发起数据请求。
• 规则测试工具验证：在Firebase控制台的Firestore规则页面，用「规则测试器」模拟读写请求——传入用户UID和对应文档数据，验证规则是否允许操作，快速定位规则逻辑问题。
• 集合路径匹配：确保Flutter代码中操作的集合路径和规则中的路径完全一致，比如规则里是/tasks/{task}，代码里不能写成/user_tasks/{task}。

内容的提问来源于stack exchange，提问作者ChronicSociety