Firebase安全规则无法访问含连字符的文档字段如何解决

核心报错原因 #

字段名包含连字符（-）时，直接用点语法访问会被规则引擎识别为减法运算，而非字段读取：

// 错误写法：引擎会解析为 取resource.data.user的值 减去 id的值，完全不会读取名为user-id的字段
allow write: if request.auth.uid == resource.data.user-id;

这也是硬编码uid能正常运行、动态读字段失败的核心原因，和路径里的连字符没有关系。

对应解决方法 #

带特殊字符的字段访问 #

和JavaScript等语言的对象属性访问逻辑一致，字段名包含连字符、空格等特殊字符时，必须用方括号+字符串字段名的写法读取：

// 正确：读取名称为user-id的字段值
allow write: if request.auth.uid == resource.data["user-id"];

驼峰字段（userId）访问失败排查 #

如果把字段名改成userId还是不生效，按以下优先级排查：

• 确认字段名完全匹配：安全规则对字段名大小写敏感，文档里实际存的是UserID/user_id/uid时，写userId肯定匹配不到
• 确认用对了数据源：
  • resource.data 只代表操作执行前已经存在于数据库中的文档数据，新建文档（create操作）时这个值是null，自然读不到任何字段
  • 新建文档时要校验用户提交的字段，得用request.resource.data读取本次请求写入的内容
• 确认值类型一致：request.auth.uid是字符串类型，如果你文档里存的用户ID是数字类型，字符串和数字做相等判断会直接返回false
• 补全登录态判断：所有需要校验用户身份的规则，先判断request.auth != null，避免未登录请求触发空指针导致规则直接拒绝访问

常见场景正确示例 #

// 更新、删除场景：校验数据库里已存的user-id和当前登录用户一致
allow update, delete: if request.auth != null && request.auth.uid == resource.data["user-id"];

// 新建场景：校验用户提交的userId和当前登录用户一致
allow create: if request.auth != null && request.auth.uid == request.resource.data.userId;

提示：不要漏写request.auth != null判断，未登录状态下request.auth为null，直接访问request.auth.uid会抛出错误，导致规则直接拒绝所有未登录请求，不符合预期时先检查这一项。

内容的提问来源于stack exchange，提问作者olqmin