Firestore Rules引用数据类型使用：用户更新权限配置问题排查

你的问题核心在于**resource.data.owner是DocumentReference类型，而非字符串**，直接和request.auth.uid（字符串）比较永远不会匹配。我们需要提取引用的目标文档信息来做权限校验，同时兼顾你要求的owner可指向用户或盒子文档的需求。

修改后的规则代码 #

service cloud.firestore {
  match /databases/{database}/documents {
    function isAdmin() {
      return get(/databases/$(database)/documents/users/$(request.auth.uid)).data.role == "admin";
    }
    function isAuth() {
      return request.auth.uid != null;
    }
    // 新增函数：检查当前用户是否是项目的所有者（owner指向当前用户的文档）
    function isItemOwner() {
      // 验证owner是文档引用，且指向当前用户的users文档
      return resource.data.owner is document
        && resource.data.owner == /databases/$(database)/documents/users/$(request.auth.uid);
    }

    match /users/{uid} {
      allow read: if isAuth();
      allow write: if isAdmin();
    }

    match /items/{umbId} {
      allow read: if isAuth();
      // 普通用户可更新自己的项目，管理员可更新所有项目
      allow update: if isAdmin() || (isAuth() && isItemOwner());
      // 仅管理员可创建/删除项目（如果需要普通用户能创建自有项目，可自行调整此规则）
      allow create, delete: if isAdmin();
    }
  }
}

关键说明 #

• 引用类型的正确校验：
  用resource.data.owner is document确保owner是合法的文档引用，再通过完整路径比对确认它指向当前登录用户的users文档，比单独匹配ID更安全（避免不同集合下ID重复的风险）。
• 规则优先级优化：
  拆分了原有的write规则，避免管理员权限覆盖普通用户的更新权限——Firestore规则会匹配第一个符合条件的允许项，拆分后普通用户的自有项目更新权限会优先生效。
• 兼容盒子文档的owner场景：
  当owner指向boxes集合的文档时，isItemOwner()会返回false，普通用户无法操作这类项目，只有管理员有权处理，完全适配你允许owner指向盒子文档的需求。

内容的提问来源于stack exchange，提问作者Troels Lenda