Firestore安全规则权限缺失：仅返回登录用户帖子问题排查

你遇到的问题其实是Firestore安全规则的一个常见误区——安全规则不会自动过滤不符合条件的文档，它只会验证你的查询是否能保证返回的所有文档都符合规则要求。

先分析你的规则和错误原因 #

你的安全规则本身逻辑是对的：

service cloud.firestore {
  match /databases/{database}/documents {
    match /posts/{post}{
      allow write: if request.auth.uid != null;
      allow read: if request.auth.uid == resource.data.author_id
    }
    match /friends/{friend=**}{
      allow read, write: if request.auth != null;
    }
  }
}

allow read: if request.auth.uid == resource.data.author_id确实能确保只有帖子的作者才能读取该文档，但问题出在你的前端查询上：如果你的查询是直接请求所有posts文档（没有添加author_id等于当前用户ID的过滤条件），Firestore会判定这个查询可能返回不符合规则的文档（比如其他用户的帖子），所以直接拒绝整个请求，返回"Missing or insufficient permissions"错误。

哪怕你改成allow read: if resource.data.name is string还是报错，也是同样的道理：Firestore无法提前确认查询返回的所有posts文档都满足name是字符串这个条件（比如可能存在没有name字段的文档），所以依然会拒绝请求。

正确的解决方法 #

解决这个问题需要安全规则 + 前端查询过滤配合：

1. 保持（或优化）你的安全规则
   可以给read规则加上request.auth != null的判断，让逻辑更严谨：

   match /posts/{post}{
     allow write: if request.auth.uid != null;
     allow read: if request.auth != null && request.auth.uid == resource.data.author_id
   }
   

2. 前端查询必须添加过滤条件
   你需要在查询中明确指定只获取当前用户创建的帖子，以Web SDK为例：

   const currentUser = firebase.auth().currentUser;
   if (currentUser) {
     // 仅查询author_id等于当前用户UID的帖子
     db.collection("posts")
       .where("author_id", "==", currentUser.uid)
       .get()
       .then(snapshot => {
         snapshot.forEach(doc => {
           // 处理每个帖子文档
           console.log(doc.id, " => ", doc.data());
         });
       })
       .catch(err => {
         console.error("获取帖子失败: ", err);
       });
   }
   

这样一来，Firestore会验证你的查询只会返回符合规则的文档（因为查询已经过滤了author_id），所以请求会被允许，你也能正确获取到自己创建的帖子。

内容的提问来源于stack exchange，提问作者Mazlan Alam Malik