Firebase Firestore规则配置：仅允许带字段筛选的集合查询访问

你描述的访问控制逻辑完全可以通过Firestore安全规则配置实现，不需要在业务代码层做额外拦截。

核心实现原理 #

• Firestore安全规则会在查询实际执行前完成权限校验，不会等数据库返回结果后再做权限判断
• 规则内置的request.query对象可以直接读取客户端发起的批量列表查询携带的全部过滤、排序、分页参数，能够精准识别查询是否附带了指定的过滤条件
• 无过滤的全量集合查询，本质是没有携带任何where过滤约束，这类请求在规则校验阶段就可以被直接识别拦截

可直接使用的规则配置 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /documents/{documentId} {
      // 针对批量列表查询的权限校验（对应db.collection().get()这类调用）
      allow list: if request.query.filters.exists(
        // 要求查询必须包含fieldId字段的等值匹配过滤条件
        filter => filter.field == 'fieldId' && filter.op == '=='
      );
      // 单文档访问、写入的规则可根据实际业务需求单独配置，不影响列表查询的拦截逻辑
      allow get, write: if <自定义的单文档访问校验逻辑>;
    }
  }
}

实际校验效果 #

• 无过滤全量查询db.collection('documents').get()：由于查询没有携带任何针对fieldId的过滤条件，规则校验不通过，请求直接被拦截
• 带指定字段过滤的查询db.collection('documents').where('fieldId', '==', 123456).get()：规则检测到查询携带了符合要求的过滤条件，正常放行

关键注意点 #

• 规则校验仅识别查询本身附带的语法级过滤条件，不会校验返回结果的内容合法性；哪怕过滤条件匹配的fieldId值不存在，只要查询语法上带了符合要求的where子句，就会通过规则校验
• 如果需要进一步限制可查询的fieldId值范围，可以在filter判断逻辑中追加值校验，比如增加filter.value >= 0这类条件

内容的提问来源于stack exchange，提问作者LambentLight