Firebase安全规则配置通配符后访问Firestore子集合仍提示权限拒绝

问题根因 #

你遇到的权限拒绝是Firestore安全规则的常见误区：

1. match /channels/{channelID=**} 递归通配符确实可以匹配channels路径下的所有子集合与文档，但resource变量始终指向当前你正在访问的文档资源。当你访问messages子集合下的消息文档时，resource.data取的是消息文档的数据，而消息文档本身没有participants字段，条件判断直接返回false，权限被拒绝。
2. 你贴出的安全规则缺少闭合的}，存在语法错误，会导致规则不生效。

正确安全规则配置 #

你需要单独为messages子集合配置规则，通过get()方法获取父级channel文档的participants字段做权限判断，示例如下：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /channels/{channelId} {
      // 父级channel文档访问权限
      allow read, write: if request.auth != null && request.auth.uid in resource.data.participants;
      
      // messages子集合访问权限
      match /messages/{messageId} {
        allow read, write: if request.auth != null && request.auth.uid in get(/databases/$(database)/documents/channels/$(channelId)).data.participants;
      }
    }
  }
}

排查步骤 #

• 确认安全规则已成功部署：修改规则后需点击Firebase控制台安全规则页面的「发布」按钮，规则部署最长需要1分钟生效，可以在控制台查看当前生效的规则版本。
• 验证用户身份与权限：确认当前登录用户的uid确实存在于对应channel文档的participants数组中，注意不要有拼写、大小写、前后空格的误差。
• 使用规则 playground 定位问题：Firebase控制台安全规则页面自带测试功能，填入要访问的资源路径、认证用户uid，即可直观看到规则每一步的判断结果，快速定位问题点。
• 检查查询逻辑：如果监听messages时附加了过滤、排序等查询条件，需要确认查询逻辑和规则没有冲突，不存在规则限制以外的查询操作。

内容的提问来源于stack exchange，提问作者scott lee