Firestore权限规则疑问：如何允许用户仅读取friend=true的users文档？

我来帮你搞定这个权限规则的问题，你遇到的情况其实是Firestore规则里的常见误区，咱们一步步来梳理：

先看你之前规则的问题 #

1. 第一个规则的错误：request.resource.data.friend = true
   这个request.resource变量是专门给**写入操作（创建/更新文档）**用的，代表你要写入的新数据内容。读取操作的时候根本不存在这个变量，所以这个规则等于没生效，自然读不到数据。

2. 第二个规则的问题：虽然用了resource.data.friend = true（规范上建议用==做判断，Firestore规则里=也能生效，但==更清晰），但大概率是你查询的时候没加过滤条件，或者路径匹配的写法不够精准。

正确的权限规则写法 #

咱们把路径匹配写精准（不需要递归匹配子集合的话，别用{document=**}），然后明确判断读取权限的条件：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 匹配users集合下的所有文档
    match /users/{userId} {
      // 允许读取friend字段为布尔值true的文档
      allow read: if resource.data.friend == true;
      
      // 如果你要求用户必须先登录才能读取，就加上认证判断：
      // allow read: if request.auth != null && resource.data.friend == true;
    }
  }
}

最关键的一点：Firestore规则不是自动过滤！ #

很多人都会忽略这个：安全规则不会帮你过滤不符合条件的文档。如果你直接调用db.collection("users").get()查询整个集合，Firestore会检查集合里的所有文档——只要有一个文档的friend不是true，整个查询就会被拒绝。

你必须在查询代码里显式添加过滤条件，只请求friend=true的文档，比如用JS的写法：

// 正确的查询示例
db.collection("users")
  .where("friend", "==", true) // 必须加这个过滤！
  .get()
  .then(snapshot => {
    snapshot.forEach(doc => {
      console.log(doc.id, doc.data());
    });
  })
  .catch(err => {
    console.error("读取失败：", err);
  });

额外排查步骤 #

1. 确认你的文档里的friend字段是布尔类型的true，不是字符串"true"（类型不匹配的话规则判断会失败）
2. 用Firestore控制台的「规则模拟器」测试：模拟读取一个friend=true的文档，看是否通过；再模拟读取friend=false的文档，看是否被拒绝，这样能快速定位规则是否生效
3. 如果加了认证判断，确保你的客户端已经完成了用户登录

内容的提问来源于stack exchange，提问作者Nero