Firestore规则模拟读允许但浏览器未认证用户访问报权限不足错误

你当前的规则问题出在路径匹配逻辑错误：Firestore的嵌套match规则是基于父级路径的相对路径，你把races集合的规则嵌套在了全局通配符match /{document=**}内部，此时你写的match /races/{id}实际匹配的是/{document=**}/races/{id}这类子集合路径，根本无法命中顶级races集合的请求。

未认证用户访问顶级races集合时，只会命中全局通配符的规则（要求必须登录），因此直接返回权限不足。规则控制台测试通过大概率是你测试时选择的路径或身份参数和实际业务请求不匹配导致的。

推荐放弃容易产生匹配歧义的全局通配符写法，直接为两个集合分别定义明确的规则：

service cloud.firestore {
  match /databases/{database}/documents {    
    // riders集合：仅已登录用户可读写
    match /riders/{rid} {
      allow read, write: if request.auth != null;
    }
    // races集合：所有人可读，仅已登录用户可写
    match /races/{raceId} {
      allow read: if true;
      allow write: if request.auth != null;
    }
  }  
}

修改规则部署后，前端无需改动即可正常访问。

1. 规则编写优先使用明确的集合路径匹配，尽量避免全局通配符/{document=**}，减少意外匹配的问题
2. 规则测试时除了使用控制台Playground，必须用真实的未认证/已认证身份在前端发起实际请求验证
3. 遇到权限问题时可以先开启Firestore调试日志，确认实际请求的路径、身份和规则匹配过程
4. 嵌套规则仅用于匹配父文档下的子集合，不要把顶级集合的规则嵌套在其他match块内

内容的提问来源于stack exchange，提问作者Sam Scholefield