Firestore RBAC规则控制台测试通过但前端报权限不足错误

问题核心原因 #

Firestore安全规则不是查询过滤器，不会自动过滤掉用户没有权限访问的文档。你当前的前端代码直接查询整个workspaces集合，规则无法验证这个请求是否符合权限要求，会直接拒绝请求，这就是你控制台测试单文档权限通过、但前端批量查询报错的根本原因。

排查&解决步骤 #

• 调整查询语句，和规则逻辑对齐

你的规则要求只有文档access字段中包含当前用户UID、且对应角色为owner/viewer的文档才能被读取，因此查询时必须添加对应过滤条件，明确告知Firestore你只会请求符合该条件的文档：

// VueJS
let workspace = []

async fetchWorkspaces() {
    // 确保查询时用户已完成登录，auth状态已初始化
    if (!firebase.auth().currentUser) return
    const db = firebase.firestore();
    const uid = firebase.auth().currentUser.uid;
    await db.collection('workspaces')
      // 添加和规则匹配的过滤条件
      .where(`access.${uid}`, 'in', ["owner", "viewer"])
      .get().then(response => {
        response.forEach(snapshot => {
            this.workspace.push({
              id: snapshot.id,
              ...snapshot.data()
            });
        })
    })
}

• 配置对应复合索引

上述查询需要创建对应的复合索引才能执行，运行代码后如果控制台提示索引缺失，复制错误信息中的索引配置，到Firebase控制台的Cloud Firestore索引页面手动创建即可，等待索引生效后再测试。

• 子集合权限方案的适配

如果你使用子集合存储用户权限的方案，同样需要修改查询逻辑和规则对齐：

1. 额外维护用户关联的工作空间列表，比如在/users/{uid}/workspaces子集合下存储该用户有权限的工作空间ID，查询时先拉取该子集合拿到ID列表，再批量读取对应的工作空间文档
2. 规则侧的exists校验本身逻辑是正确的，报错原因同样是全集合查询和规则要求不匹配，调整查询逻辑后即可正常生效

• 兜底校验项

  1. 确认查询操作在用户登录状态完全初始化后执行，避免request.auth为null导致校验失败
  2. 确认工作空间文档的access字段结构正确，用户UID为字符串类型、对应的角色值确实为owner/viewer
  3. 安全规则部署后最多有1分钟的生效延迟，部署后稍等片刻再测试

内容的提问来源于stack exchange，提问作者Ari