Firestore与用户认证不同步求助：规则报错且返回全量用户数据

核心问题 #

• Firestore权限规则未生效，导致返回所有用户数据；同时合法请求触发权限错误
• 前端数据请求时机与用户认证状态不同步，加剧权限问题

具体问题排查 #

1. Security Rules 常见错误 #

• 未添加request.auth != null前置判断，导致未认证请求也能触发规则逻辑
• 集合路径或用户ID匹配逻辑错误：比如文档ID不是用户UID，却用request.auth.uid == userId判断；或者文档内uid字段与认证UID不匹配
• 规则版本兼容问题：新版本规则（rules_version = '2';）的匹配逻辑写法有误

2. 前端请求逻辑问题 #

• 组件挂载时直接发起请求，此时用户认证状态尚未初始化完成，auth.currentUser为null，触发权限拦截
• 未监听用户认证状态变化，登录后未重新触发数据请求

3. 权限错误本质 #

错误提示Missing or insufficient permissions说明：请求时未携带合法认证信息，或者当前规则不允许该请求

修复步骤 #

1. 修正Firestore Security Rules #

根据你的数据结构选择对应规则：

场景1：文档ID为用户UID

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userId} {
      allow read, write: if request.auth != null && request.auth.uid == userId;
    }
  }
}

场景2：文档内用uid字段存储用户ID

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{doc} {
      allow read, write: if request.auth != null && request.auth.uid == resource.data.uid;
    }
  }
}

• 必须先判断request.auth != null，拦截未认证请求
• 确保用户ID匹配逻辑与实际数据结构一致

2. 同步前端请求与认证状态 #

替换原useEffect逻辑，监听认证状态变化后再请求数据：

import { useEffect, useState } from 'react';
import { auth, db } from './firebaseConfig';
import { onAuthStateChanged } from 'firebase/auth';
import { collection, query, where, getDocs, doc, getDoc } from 'firebase/firestore';

function UserDataComponent() {
  const [userData, setUserData] = useState(null);

  useEffect(() => {
    // 监听用户认证状态变更
    const authUnsubscribe = onAuthStateChanged(auth, async (currentUser) => {
      if (currentUser) {
        // 场景1：文档ID为用户UID，直接获取单文档
        const userDocRef = doc(db, 'users', currentUser.uid);
        const userDocSnap = await getDoc(userDocRef);
        if (userDocSnap.exists()) {
          setUserData(userDocSnap.data());
        }

        // 场景2：文档内有uid字段，用查询获取
        // const userQuery = query(collection(db, 'users'), where('uid', '==', currentUser.uid));
        // const querySnap = await getDocs(userQuery);
        // querySnap.forEach(doc => setUserData(doc.data()));
      } else {
        setUserData(null);
      }
    });

    // 组件卸载时取消监听
    return () => authUnsubscribe();
  }, []);

  return (
    <div>
      {userData ? (
        <div>用户名：{userData.name}</div>
      ) : (
        <div>请登录</div>
      )}
    </div>
  );
}

• 用onAuthStateChanged替代单纯的挂载请求，确保认证状态稳定后再发起Firestore请求
• 请求时必须添加用户ID过滤条件，与权限规则逻辑对应，避免请求所有用户数据

3. 调试验证 #

• 用Firebase控制台的规则模拟器测试读写权限，输入用户UID验证规则是否生效
• 前端调试时，在请求前打印currentUser，确认用户已完成认证
• 检查Firestore数据，确保用户文档的UID与认证UID完全一致

内容的提问来源于stack exchange，提问作者Prakhar Gupta