Firestore安全规则是否向下级联？嵌套路径默认写入权限问题

核心结论 #

• 父路径/chats/{chatId}的写入规则不会传递给嵌套的/messages/{document=**}路径
• 若要控制messages路径的写入权限，必须显式声明对应的规则
• 未显式声明任何allow write规则时，默认权限为false（即拒绝所有写入操作）

详细说明 #

1. 规则无继承特性
   Firestore安全规则是路径独立匹配的，你给/chats/{chatId}设置的write: if false，仅对/chats/{chatId}层级的文档生效，完全不会影响其子路径/messages/{document=**}的权限判断。

2. 嵌套规则需显式定义
   当前你的/messages/{document=**}只声明了allow read规则，没有任何allow write相关配置。这种情况下，所有针对messages路径的写入请求都会被拒绝——因为默认权限是拒绝。如果之后需要开放部分写入权限，必须在这里显式添加allow write: if <条件>；如果要保持完全禁止，显式写allow write: if false也可以，能让规则更清晰，避免后续维护时产生误解。

3. 默认权限逻辑
   Firestore安全规则的默认行为是默认拒绝所有操作：当某个路径没有针对某类操作（read/write）的allow规则时，该操作会被自动拒绝，等效于allow <操作>: if false。所以你现在注释掉messages的write规则，和显式写allow write: if false的效果完全一致，但显式声明会提升规则的可读性。

结合你的规则示例分析 #

你的现有规则结构：

match /databases/{database}/documents {
    match /chats/{chatId} {
      allow read: if <condition1>
      allow write: if false;

      match /messages/{document=**} {
        allow read: if <condition2>
        // allow write: if false;
      }
    }
  }
}

这里messages路径的写入权限因为没有显式允许，所以默认拒绝，和你注释掉的allow write: if false效果完全一致。如果之后要允许特定场景的写入（比如仅消息发送者可写），就需要在这里补充对应的allow write规则。

内容的提问来源于stack exchange，提问作者Raul