Firestore事务创建新文档时遭遇权限不足问题的规则排查求助

看起来你踩中了Firestore事务的一个常见权限坑——当你用.collection('accounts').doc()生成自动ID的文档引用并在事务中操作时，Firestore会先对这个尚未存在的文档执行预读取检查，这直接触发了/accounts/{accountId}的读取规则。而此时文档还没创建，members字段里自然没有你的用户ID，就会直接命中「权限不足」的拦截。

下面是具体的解决方案和思路：

1. 调整读取规则，兼容「文档不存在」的场景 #

你的原读取规则大概率是只允许已存在文档的成员读取，比如：

match /accounts/{accountId} {
  allow read: if request.auth.uid in resource.data.members;
  allow write: if ...;
}

但事务预读取时resource是null（因为文档还没创建），这条规则会直接返回拒绝。我们需要修改读取规则，允许对不存在的文档进行预读取，同时保留对已存在文档的权限控制：

match /accounts/{accountId} {
  // 允许预读取不存在的文档，同时仅允许成员读取已存在的文档
  allow read: if request.auth != null && (resource == null || request.auth.uid in resource.data.members);
  // 写入时确保用户在新文档的members列表中
  allow write: if request.auth != null && request.auth.uid in request.resource.data.members;
}

这里的request.resource指的是你要写入的新文档数据，所以写入规则能确保只有被添加到members的用户才能创建或修改账户，完全符合你的业务逻辑。

2. 确认事务逻辑的正确性 #

确保你的事务同时完成了两个操作，并且数据符合规则要求：

// 示例事务代码（客户端/Node.js通用逻辑）
const db = getFirestore();

async function createUserAccount(userId) {
  const accountRef = db.collection('accounts').doc(); // 生成自动ID引用
  const userRef = db.collection('users').doc(userId);

  await db.runTransaction(async (transaction) => {
    // 先读取用户文档（确保用户存在）
    const userDoc = await transaction.get(userRef);
    if (!userDoc.exists) {
      throw new Error('目标用户不存在');
    }

    // 写入新账户文档，确保members包含当前用户ID
    await transaction.set(accountRef, {
      members: { [userId]: true }, // 推荐用对象而非数组，查询效率更高
      // 其他账户字段（如名称、创建时间等）...
    });

    // 更新用户的账户列表，用arrayUnion避免重复添加
    await transaction.update(userRef, {
      accounts: arrayUnion(accountRef.id)
    });
  });
}

注意：arrayUnion需要导入Firestore的字段值工具，客户端是firebase.firestore.FieldValue.arrayUnion，服务端是admin.firestore.FieldValue.arrayUnion。

3. 优化小提示 #

• 尽量用对象映射存储members（比如{ "user123": true }），而不是数组。这样检查用户是否在成员列表里的效率更高，也能避免数组重复添加的问题。
• 所有规则都加上request.auth != null的前置条件，确保只有登录用户才能操作。

内容的提问来源于stack exchange，提问作者R S