Firestore文档及子集合权限配置：权限不足错误排查

看起来你遇到的核心问题是子集合文档无法继承父级system文档的权限逻辑——你的authed函数依赖的owner和collaborators字段只存在于systems/{systemId}文档中，但子文档（比如settings/character）本身并没有这些字段，导致权限判断直接失败。

先拆解你尝试的两种规则的问题：

第一种规则的问题 #

match /{systemId}/{document=**} {
  allow read, write: if authed(request.auth, resource.data);
}

这里的resource.data指向的是子文档（比如settings/character）的数据，但这个子文档里并没有owner或collaborators字段，所以authed函数会返回false，直接拒绝权限请求。

第二种规则的问题 #

match /{document=**} {
  allow read, write: if authed(request.auth, get(/systems/{systemId}).data);
}

你尝试通过get函数获取父级system文档，但路径写法有误——Firestore的get函数需要完整的数据库路径，必须包含{database}变量，正确路径应该是/databases/$(database)/documents/systems/$(systemId)，否则Firestore找不到对应文档，导致权限判断失效。

正确的权限规则写法 #

下面是修正后的规则，核心思路是通过get函数获取父级system文档的数据，用父文档的权限逻辑控制所有子集合和子文档：

function authed(auth, systemData) {
    // 复用你的权限判断逻辑：用户是所有者，或是协作成员
    return auth.uid == systemData.owner.uid || auth.token.email in systemData.collaborators;
  }

  match /databases/{database}/documents {
    // 根级systems集合的基础权限（可根据实际需求调整）
    match /systems {
      allow read, write: if request.auth.uid != null;
      
      match /{systemId} {
        // system文档本身的权限控制
        allow get, update, delete: if authed(request.auth, resource.data);
        allow list, create: if request.auth.uid != null;

        // 匹配所有子集合和子文档，继承父级system的权限
        match /{document=**} {
          allow read, write: if request.auth != null && authed(request.auth, get(/databases/$(database)/documents/systems/$(systemId)).data);
        }
      }
    }
  }
}

关键细节说明 #

1. 完整路径的get调用：get(/databases/$(database)/documents/systems/$(systemId)).data确保能正确获取父级system文档的数据，适配不同数据库环境（如测试/生产）。
2. 先校验登录状态：request.auth != null可以避免未登录用户触发不必要的get操作，减少资源消耗。
3. 权限逻辑一致性：所有子集合、子文档的权限判断都依赖父system文档的owner和collaborators字段，确保权限控制统一。

额外注意事项 #

• 确保systems/{systemId}文档确实存在owner.uid（对象类型，包含uid字段）和collaborators（数组类型，存储协作成员邮箱）字段，否则authed函数会返回false。
• 可以用Firestore控制台的规则playground模拟请求：选择对应文档路径，设置认证信息，快速验证权限是否符合预期。

内容的提问来源于stack exchange，提问作者Aron Greenspan