Firestore权限规则异常：单文档可读但集合读取提示权限不足

这不是Firestore的Bug，而是你对Firestore安全规则的集合查询验证逻辑理解不到位导致的。

问题核心原因 #

你的规则match /items/{itemId}是针对单个文档的权限控制，但当你执行集合查询（collection("/items").get()）时，Firestore会进行预查询权限校验：它需要确认这个查询返回的所有文档都符合规则，并且要求你的查询逻辑能和规则条件对应上。

虽然itemId != null在单个文档场景下永远为真（因为文档ID不可能为空），但Firestore的规则引擎不会做这种“常识性假设”——对于集合查询，它需要明确的信号来确认整个集合的访问是被允许的，或者你的查询过滤条件能匹配规则中的路径/数据约束。

当你没有定义集合级别的访问规则，且集合查询没有对应的过滤条件时，Firestore会默认拒绝集合查询请求，即使单个文档的权限是开放的。

解决方案 #

根据你的需求，有两种常用的调整方式：

1. 明确添加集合级别的访问规则

直接为/items集合添加读取权限，同时保留单个文档的规则（如果需要更细粒度的控制）：

service cloud.firestore {
  match /databases/{database}/documents {
    // 允许集合级别的读取操作
    match /items {
      allow read: if true;
    }
    // 单个文档的权限控制（可根据实际需求调整）
    match /items/{itemId} {
      allow read: if itemId != null;
    }
  }
}

2. 使用递归匹配简化规则

如果你希望集合和所有子文档都使用相同的权限规则，可以用递归通配符{itemId=**}来匹配集合下的所有文档（包括集合本身的查询）：

service cloud.firestore {
  match /databases/{database}/documents {
    match /items/{itemId=**} {
      allow read: if itemId != null;
    }
  }
}

3. 针对复杂权限场景的调整（如果你的实际规则更严格）

如果你的规则需要验证用户只能访问特定itemId的文档，那么你需要在集合查询中添加对应的过滤条件，比如：

// 假设用户只能访问itemId为"item1"的文档
firebase.firestore().collection("/items").where("itemId", "==", "item1").get()

同时规则要对应：

service cloud.firestore {
  match /databases/{database}/documents {
    match /items/{itemId} {
      allow read: if itemId == request.auth.uid; // 示例：用户只能访问自己的文档
    }
  }
}

这种情况下，Firestore会验证你的查询过滤条件和规则逻辑一致，从而允许集合查询。

验证你的测试结果 #

当你把规则改成allow read: if true;时，它对集合和单个文档都开放了权限，所以两种查询都能正常工作——这也印证了问题出在集合级权限的缺失上。

内容的提问来源于stack exchange，提问作者Niklas Hallenfur