Firestore文档权限规则问题：允许创建禁止更新但创建时报权限拒绝

嘿，我来帮你搞定这个Firestore安全规则的权限问题！你要的是仅允许创建符合指定结构的文档，完全禁止后续的更新/删除操作，但现在一直碰到permission-denied，大概率是规则的逻辑或者客户端操作的细节没处理对，我给你拆解下问题和解决方案：

假设你的目标集合叫userRecords，下面是严格符合需求的规则：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 匹配你的目标集合，这里以userRecords为例
    match /userRecords/{docId} {
      // 允许创建：两个核心条件——用户已登录，且文档结构完全符合要求
      allow create: if 
        request.auth != null 
        && request.resource.data.keys().hasAll(['nickname', 'signupTime', 'userId']) // 必须包含指定字段
        && request.resource.data.nickname is string // 字段类型验证
        && request.resource.data.signupTime is timestamp
        && request.resource.data.userId is string
        && request.resource.data.userId == request.auth.uid; // 可选：确保文档归属当前登录用户

      // 明确禁止更新、删除操作
      allow update, delete: if false;

      // 读取权限按需调整，比如允许登录用户读取
      allow read: if request.auth != null;
    }
  }
}

我猜你大概率是碰到了下面某一个问题：

• 混淆了write和create：很多人会写allow write: if ...，但write包含了create、update、delete三种操作，如果你用了这个，就等于开放了更新权限；必须拆分写成allow create和单独禁止update/delete。
• 创建操作实际触发了update：这是最容易踩的坑！如果你在客户端指定了一个已经存在的文档ID来写（比如用doc('userRecords/123').set(data)），Firestore会把这个操作判定为update，而不是create，自然会被你的规则拒绝。正确的做法是让Firestore自动生成文档ID（用add()方法），或者确保自定义ID对应的文档绝对不存在。
• 文档结构不符合规则要求：比如你规则里要求必须有signupTime字段，但客户端创建时没传，或者字段类型不对（比如把时间戳写成了字符串），这会导致create的条件不满足，直接返回权限拒绝。
• 忘记验证用户登录状态：如果你的规则里要求request.auth != null，但客户端创建文档时用户未登录，或者登录状态还没同步完成，也会触发权限拒绝。
• 规则没发布：修改规则后一定要记得点击Firestore控制台的“发布”按钮，不然还是用的旧规则！

1. 用规则Playground调试：Firestore控制台的“规则”页面有个Playground工具，你可以模拟创建请求，一步步看哪个条件不满足（比如是request.auth为null，还是字段缺失），这是排查权限问题的神器。
2. 检查客户端创建方式：确保你用的是触发create的方法，比如JavaScript里的collection('userRecords').add(data)，而不是指定已存在ID的set()操作。
3. 核对文档结构：把你创建的文档数据和规则里的字段要求一一对比，确保所有必填字段都存在，类型完全匹配。

// 确保用户已登录后再执行
if (firebase.auth().currentUser) {
  db.collection('userRecords').add({
    nickname: 'happydev',
    userId: firebase.auth().currentUser.uid,
    signupTime: firebase.firestore.FieldValue.serverTimestamp()
  })
  .then(docRef => {
    console.log('文档创建成功，ID：', docRef.id);
  })
  .catch(error => {
    console.error('创建失败：', error);
  });
}

内容的提问来源于stack exchange，提问作者Robert Rossmann