Firestore规则配置问题：子集合无法读取父文档字段致权限拒绝

我明白你遇到的权限配置难题了——当前规则里子集合的权限检查没办法正确获取父文档的creatorUID字段，导致创建子集合文档时触发权限拒绝错误。让我帮你一步步修正这个问题：

问题根源 #

你规则里的match /{list=**}部分，直接用recipe.creatorUID是错误的逻辑。这里的recipe只是路径中的占位符字符串，并不是父文档的快照对象，所以无法直接访问它的.data属性。要获取父文档的实际数据，必须使用Firestore规则的get()函数主动读取父文档。

修正后的Firestore规则 #

match /databases/{database}/documents {
    function isSignedIn() {
      return request.auth != null;
    }
    // 封装获取父文档并验证创建者的逻辑
    function isRecipeCreator(recipeId) {
      let recipeDoc = get(/databases/$(database)/documents/ListOfRecipes/$(recipeId));
      return recipeDoc.data.creatorUID == request.auth.uid;
    }

    match /ListOfRecipes/{recipe} {
      allow read, create: if isSignedIn();
      allow update, delete: if isRecipeCreator(recipe);

      // 匹配所有子集合（包括ingredients）
      match /{subcollection=**} {
        allow read: if isSignedIn();
        // 验证登录状态+是否为食谱作者
        allow write: if isSignedIn() && isRecipeCreator(recipe);
      }
    }
  }
}

关键改动说明 #

• 新增isRecipeCreator函数：把读取父文档和校验创建者UID的逻辑封装成函数，让规则更简洁易维护。
• 子集合权限校验：通过get(/databases/$(database)/documents/ListOfRecipes/$(recipe))明确读取父文档快照，这样才能正确获取到creatorUID字段进行校验。
• 保留登录校验：确保所有操作都要求用户已登录，完全匹配你的应用需求。

额外提示 #

• 关于费用：Firebase对权限检查过程中触发的get()调用是免费的，不会计入你的Firestore读取配额，放心使用即可。
• 测试注意事项：创建子集合文档前，要确保对应的父食谱文档已经存在（毕竟你是先创建食谱再添加配料），路径格式要正确，比如ListOfRecipes/[你的食谱ID]/ingredients/[配料ID]。

这样修改后，食谱作者就能正常创建、编辑自己食谱的子集合内容，其他用户也能正常查看所有食谱及其配料，完全符合你的应用权限要求。

内容的提问来源于stack exchange，提问作者Payerl