Firestore安全规则访问子集合报权限不足的排查与解决

你遇到的权限拒绝和status子集合规则无关，你贴的Flutter代码仅查询顶级requests集合，根本没有访问子集合。两个核心原因导致报错：

1. 规则游乐场默认测试的是单文档读取操作，不会校验列表查询的约束匹配性，所以单测能过不代表列表查询能过。Firestore安全规则不会在查询执行后逐篇校验结果，只会在查询发起时判断：该查询的过滤条件是否能天然保证所有返回结果都符合权限要求，判断不通过就直接拒绝，根本不会执行查询。
2. 你在/requests/{requestId}路径下的userCanAccess函数写了冗余的get()调用，重复拉取当前匹配路径的同一份文档。规则评估器无法将你查询里的where('userId', isEqualTo: user.uid)条件和这个get()取到的字段做关联，直接判定查询不满足权限约束。

• 拆分父、子集合下的权限判断函数，去掉父文档规则里的冗余get调用：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    function userSignedIn() {
      return request.auth != null;
    }
    
    match /requests/{requestId} {
      // 父文档直接取当前resource的字段，不需要额外get
      function userCanAccessRequest() {
        return userSignedIn() && request.auth.uid == resource.data.userId;
      }

      allow read, update: if userCanAccessRequest();
      allow create: if true;
      allow delete: if false;

      match /status/{statusId} {
        // 子集合文档没有userId字段，才需要get拉取父文档判断归属
        function userCanAccessParentRequest() {
          return userSignedIn() && request.auth.uid == get(/databases/$(database)/documents/requests/$(requestId)).data.userId;
        }

        allow read, update: if userCanAccessParentRequest();
        allow create: if true;
        allow delete: if false;
      }
    }
  }
}

注意：查询status子集合时，必须指定所属的requestId父文档路径，不能跨所有父文档做全子集合查询，否则规则同样会因为无法保证结果合规直接拒绝。

• 排查客户端初始化时序问题：在挂载Firestore监听前打日志确认user.uid是有效值，排除登录态未初始化完成、uid为空导致的权限拒绝。

• 用规则游乐场测试时，不要选「单文档读取」，要选「查询」模式，填入和客户端完全一致的集合路径、过滤条件、排序规则，模拟真实列表查询场景测试。
• 打开Firebase控制台的规则审计日志，报错触发后可以直接看到规则评估的完整过程，明确是auth为空、字段不匹配还是查询约束不匹配导致的拒绝。
• 客户端监听时增加错误回调，打印完整错误信息和触发查询时的登录态、查询参数，快速定位端侧参数问题。

内容的提问来源于stack exchange，提问作者ALai