Firestore安全规则配置问题：消息删改权限与blocked拦截不生效

问题根因分析 #

• 第一个问题（任意用户可删除消息）：父路径权限溢出

Firestore安全规则遵循「任意匹配规则返回true即放行」的逻辑，你在/Chats/{ChatID}路径配置了allow write: if request.auth != null，而write权限天然包含所有子集合的增删改操作权限，你后续在Messages子集合配置的删除限制完全被父路径的宽泛权限覆盖，没有任何生效机会。

• 第二个问题（所有用户无法发送消息）：规则运行错误触发默认拒绝

你的创建规则直接访问get(...).data.blocked，如果对应Chats文档未设置blocked字段，访问不存在的字段会直接抛出规则运行错误，Firestore遇到规则错误时会默认返回拒绝，因此所有用户都无法发送消息。

修正后的安全规则 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 全局默认拒绝
    match /{document=**}{
      allow read, write : if false;
    }
    // Chats文档本身权限，拆分细粒度权限避免影响子集合
    match /Chats/{ChatID}{
      allow read : if request.auth != null;
      // Chats文档本身的修改、删除权限可按需补充，不要直接开write
      // allow update, delete: if <Chats文档专属权限逻辑>;
    }
    // Messages子集合专属规则
    match /Chats/{ChatID}/Messages/{MessageID} {
      allow read: if request.auth != null;
      // 仅发送者可删改消息
      allow delete, update : if request.auth != null && resource.data.sender == request.auth.uid;
      // 创建消息判断拉黑状态，用get方法设置默认空数组，避免字段不存在报错
      allow create : if request.auth != null && !(request.auth.uid in get(/databases/$(database)/documents/Chats/$(ChatID)).data.get('blocked', []));
    }
  }
}

核心修正点说明 #

• 移除了/Chats/{ChatID}路径的宽泛write权限，仅保留必要的细粒度权限，彻底避免父路径权限溢出到子集合
• 拉黑判断逻辑新增字段不存在兼容，用data.get('blocked', [])替代直接字段访问，无blocked字段时默认返回空数组，不会触发规则运行错误
• 所有操作补充request.auth != null判断，避免未登录用户访问触发空指针异常

内容的提问来源于stack exchange，提问作者User