Firestore配置安全规则后查询报权限不足错误排查

• 权限报错核心是集合组查询的安全规则匹配逻辑和普通子集合查询不一致：你当前配置的match /bots/{id}/order_history/{id}规则，仅对「指定某一个bot文档下的order_history子集合定向查询」生效，完全无法覆盖全库范围的collectionGroup('order_history')查询。Firestore安全规则硬性要求，集合组查询必须匹配带递归通配符的显式路径规则，否则规则引擎会直接判定无权限，拒绝所有请求。
• 你的前端查询逻辑本身符合规则校验要求：已经添加了where('createdBy', '==', user.uid)过滤条件，和规则中的权限判断逻辑完全对齐，不存在查询范围越界导致的拦截。

1. 调整Firestore安全规则，补充集合组查询对应的递归通配符匹配块，移除原有嵌套在bots路径下的order_history规则（递归规则会自动覆盖该路径下的文档权限判断），修正后的完整规则如下：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
     match /bots/{id} {
       allow read, write: if request.auth != null && resource.data.createdBy == request.auth.uid;
     }

     // 为order_history集合组查询添加全路径递归匹配规则
     match /{allPaths=**}/order_history/{id} {
       allow read, write: if request.auth != null && resource.data.createdBy == request.auth.uid;
     }
  }
}

2. 保存规则后等待1-2分钟待规则全网生效，再重试前端请求。
3. 如果重试后返回索引缺失类报错，直接按照Firebase报错提示里的链接，为order_history集合组创建包含createdBy、datetime字段的复合索引（排序方向和你代码里orderBy的配置保持一致即可），这是集合组排序查询的强制要求，不属于权限配置问题。

内容的提问来源于stack exchange，提问作者Fyl