Firestore安全规则中resource.data访问异常致权限规则不生效

API 探路者

2026-8-30

问题核心原因

你遇到的模拟器校验通过、实际运行权限校验失败、无法正常读取resource.data.fromUser/resource.data.toUser属性的问题，本质是两个Firestore安全规则的常见踩坑点：

你配置的read规则默认同时覆盖get（单文档读取）和list（集合批量拉取）两类操作，但你写的校验逻辑仅支持单文档读取场景。Firestore安全规则不是服务端数据过滤器，当你发起列表查询时，规则不会逐文档拉取resource.data做校验，只会先校验你的查询语句本身是否满足权限要求——如果你的查询没有携带和规则逻辑完全对齐的过滤条件，规则会直接拒绝整个请求，根本不会访问文档内的字段，这就是你感知到“识别不到字段”的直接原因。而规则模拟器默认测试的是单文档get场景，自然会显示校验通过，和实际运行表现不一致。
你需要额外确认消息文档内fromUser、toUser的字段类型：如果这两个字段存的是DocumentReference类型、自定义数字ID类型，而非字符串类型的Firebase Auth UID，和字符串类型的request.auth.uid做相等判断时会永远返回false，哪怕值逻辑上对应，类型不匹配也会校验失败。

修复方案

拆分原有的通配read规则，分别针对单文档读取、列表查询场景做配置，参考规则如下：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /messages/{msgId} {
      // 单文档读取：直接校验文档字段即可
      allow get: if request.auth != null && (
        resource.data.fromUser == request.auth.uid || 
        resource.data.toUser == request.auth.uid
      );
      // 列表查询：强制要求查询语句携带匹配的过滤条件
      allow list: if request.auth != null && (
        request.query.where.fromUser == request.auth.uid ||
        request.query.where.toUser == request.auth.uid
      );
    }
    // users集合权限按需配置，示例为仅允许用户访问自己的文档
    match /users/{userId} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

修正客户端的列表查询代码，必须携带和规则逻辑完全一致的where过滤条件，以Web端SDK为例：

import { collection, query, where, getDocs } from "firebase/firestore";
import { auth } from "./your-firebase-config-path";

// 错误写法：直接拉取全集合，会被规则直接拒绝
// const invalidQuery = query(collection(db, "messages"));

// 正确写法：带上和规则匹配的过滤条件，查当前用户发送的消息
const sentMsgQuery = query(
  collection(db, "messages"),
  where("fromUser", "==", auth.currentUser.uid)
);
// 如果要拉取当前用户收到的消息，单独写查询即可
const receivedMsgQuery = query(
  collection(db, "messages"),
  where("toUser", "==", auth.currentUser.uid)
);

注意：如果要通过OR条件同时拉取当前用户发送、接收的所有消息，需要提前在Firestore控制台创建对应复合索引，否则查询会直接报错。

批量校验已有消息文档的字段类型，确保fromUser、toUser存储的是字符串格式的Firebase Auth UID，不要存储文档引用、数字ID等其他类型的值，避免类型不匹配导致的校验失败。

内容的提问来源于stack exchange，提问作者MichaelLearner