Firebase Firestore子集合安全查询及规则适配咨询

首先，咱们从规则配置入手，因为安全查询的前提是规则要和查询逻辑匹配，避免出现"权限不足"的错误。

1. 子集合的规则配置 #

针对你主集合performances的权限逻辑，子集合的规则通常需要继承父文档的权限（比如只有父文档的owner才能操作子集合）。假设你的子集合叫events，可以这样写规则：

service cloud.firestore {
  match /databases/{database}/documents {
    match /performances/{performanceId} {
      allow read, update, delete: if request.auth.uid == resource.data.owner;
      allow create: if request.auth.uid != null && request.resource.data.owner == request.auth.uid;

      // 子集合events的规则
      match /events/{eventId} {
        // 创建子文档时，必须确保当前用户是父文档的owner，且子文档的owner和父文档一致
        allow create: if request.auth.uid != null 
                      && request.resource.data.owner == get(/databases/$(database)/documents/performances/$(performanceId)).data.owner;
        
        // 读、更新、删除操作，仅允许子文档的owner（即父文档的owner）执行
        allow read, update, delete: if request.auth.uid == resource.data.owner;
      }
    }

    // 处理跨所有performances的子集合查询（collectionGroup查询）
    match /events/{eventId} {
      allow read: if request.auth.uid == resource.data.owner;
    }
  }
}

这里的关键点：

• 用get()函数获取父文档performances/{performanceId}的owner字段，确保子集合的操作权限和父文档绑定。
• 创建子文档时强制要求owner字段和父文档一致，避免后续出现权限不匹配的问题。
• 单独配置/events/{eventId}的规则，是为了支持跨多个父文档的子集合查询（collectionGroup）。

2. 安全查询的具体实现 #

根据查询场景不同，分两种情况处理：

场景1：查询单个父文档下的子集合 #

如果是当前用户查询自己拥有的某个performance下的子集合，直接按路径查询即可，因为规则会自动验证用户是否是父文档的owner：

// 假设performanceId是当前用户拥有的文档ID
String performanceId = "xxx";
db.collection("performances").document(performanceId).collection("events").get()

这个查询会直接通过，因为规则会检查父文档的owner是否是当前用户，只要符合就允许读取子集合。

场景2：查询当前用户所有父文档下的子集合（collectionGroup查询） #

如果需要查询用户所有performance下的子集合文档，就得用collectionGroup查询，同时必须加上owner的过滤条件——因为Firestore要求查询返回的每一个文档都必须满足规则，不能有漏网之鱼：

String currentUserId = FirebaseAuth.getInstance().getCurrentUser().getUid();
db.collectionGroup("events").whereEqualTo("owner", currentUserId).get()

这个查询只会返回当前用户作为owner的子集合文档，完全符合规则里的权限要求，所以不会被拒绝。

核心注意事项 #

• 子文档建议存储owner字段，这样无论是单个子集合查询还是collectionGroup查询，都能通过过滤条件快速匹配规则，同时避免频繁调用get()函数（虽然get()在规则里是免费的，但存储字段更高效）。
• 永远不要写"允许所有用户读取子集合"的规则，一定要绑定到具体的权限逻辑（比如owner），否则会出现数据泄露风险。
• 测试规则时，一定要用不同身份的用户验证（比如非owner用户尝试查询），确保权限控制生效。

内容的提问来源于stack exchange，提问作者user3265561