Firebase Firestore删除用户文档报权限不足的规则配置问题

核心问题原因 #

你遇到的权限报错和iOS端删除代码无关，全是Firestore安全规则的逻辑踩坑：

• Firestore规则匹配逻辑是按路径最长匹配优先，一旦匹配到对应规则就直接执行校验，不会再走其他同路径规则；如果某条路径没有匹配到任何允许的规则，请求直接被拒绝。
• write是create/update/delete三类操作的父级规则：新建文档时不存在resource对象（存储文档旧数据的对象），直接读resource.data.ownerUid会直接校验失败；新建场景要读request.resource.data（用户提交的新数据）做校验。
• 客户端做跨集合级联删除天然有缺陷：删除用户账号后用户登录态会立刻失效，后续发的删帖子请求拿不到合法认证态，必然报权限错误。

可直接上线用的规则配置 #

service cloud.firestore {
  match /databases/{database}/documents {
    // 用户集合规则：仅本人可读写自己的用户信息，已认证用户可新建用户文档（对应注册流程）
    match /users/{userId} {
      allow read, write: if request.auth != null && request.auth.uid == userId;
      allow create: if request.auth != null;
    }
    // 帖子集合规则：所有已登录用户可读，仅作者可编辑/删除自己的帖子
    match /posts/{docId} {
      allow read: if request.auth != null;
      // 新建帖子时校验提交的ownerUid和当前登录用户uid一致
      allow create: if request.auth != null && request.resource.data.ownerUid == request.auth.uid;
      // 编辑/删除帖子时校验文档存储的ownerUid和当前登录用户uid一致
      allow update, delete: if request.auth != null && resource.data.ownerUid == request.auth.uid;
    }
    // 其余业务集合默认仅允许已认证用户访问，可按需追加细粒度权限控制
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
  }
}

必须配套做的检查 #

• 发删除请求前先在iOS端打印Auth.auth().currentUser?.uid，确认发起操作时用户确实处于登录态，没有出现token过期、提前登出的情况。你之前配了全局已认证可写还删失败，基本都是这个原因
• 创建帖子时必须给文档写入ownerUid字段，值取当前登录用户的uid，否则编辑、删除时的权限校验拿不到所有者信息，会直接拒绝请求。
• 删除用户时同步删关联帖子的逻辑不要放在客户端实现，改成部署Firebase云函数，监听用户删除事件后在服务端批量清理关联帖子，服务端操作拥有管理员权限不受规则限制，也不会出现客户端漏删、越权的问题。
• 修改规则后等待1-2分钟再测试，Firestore规则全局下发有几十秒延迟，改完立刻测大概率命中旧规则缓存，得到错误结果。

你之前的规则失效原因 #

1. 第一版规则只配置了posts集合的访问权限，完全没覆盖users集合，注册、登录流程需要读写users集合的文档，直接被拦截，才会出现能创建账号但无法登录的问题。
2. 第二版规则只配置了users集合的访问权限，没覆盖posts集合，所有帖子读写请求都找不到匹配的允许规则，自然看不到任何内容。
3. 第三版规则虽然开了全局已认证可写，但你在删除用户账号后再发删帖子的请求，此时用户登录态已经被注销，request.auth为空，必然报权限不足。
4. 后续测试的几版规则要么是把全局规则放在细粒度规则前面导致细粒度规则不生效，要么是没有拆分create和update/delete的校验逻辑，导致新建文档时读不存在的resource属性报错。

内容的提问来源于stack exchange，提问作者Ilak