Firestore规则疑问：迁移实时数据库时访问资源文档ID及权限配置

Hey there! Let's work through your Firestore rules questions—since you're migrating from Realtime Database, I know getting the rules right can feel tricky at first. Let's break this down:

1. 如何访问资源中的文档ID？ #

在Firestore规则里，有两种常用方式获取文档ID，对应不同场景：

• 针对已存在的文档（如update/delete操作）：用resource.id直接获取当前被操作文档的ID。比如验证用户是否能修改自己的文档：

  allow update: if request.auth.uid == resource.id;
  

• 通过路径匹配变量获取：在match语句里定义路径变量，比如match /users/{userId}，这里的userId就等于该用户文档的ID。这种方式不管文档是否存在（比如create操作时）都能使用：

  match /users/{userId} {
    allow create: if request.auth.uid == userId;
  }
  

2. 你的规则配置问题修正 #

先看你当前的规则，有几个语法和逻辑问题需要调整，我会逐一说明并给出修正后的版本：

原规则中的问题点 #

• 语法错误：match /users/ { 缺少路径变量，正确写法应为match /users/{userId} 来匹配每个用户文档
• 权限风险：allow read 直接放在/users/匹配下会允许所有用户读取整个users集合，这通常不符合安全要求
• Update条件无效：request.auth.id === resource.data 逻辑错误，request.auth里的用户标识是uid而非id，且resource.data是整个文档数据，应该对比文档ID或文档内的用户字段
• 匹配层级混乱：当前嵌套的match /{$user} 不符合Firestore规则的层级逻辑

修正后的规则示例 #

service cloud.firestore {
  match /databases/{database}/documents {
    // 通用认证函数（假设你已实现isAuthenticated）
    function isAuthenticated(request) {
      return request.auth != null;
    }

    // 匹配users集合下的所有用户文档
    match /users/{userId} {
      // 仅允许用户读取自己的文档
      allow read: if isAuthenticated(request) && request.auth.uid == userId;
      // 创建用户文档：仅认证用户可创建自己的文档，且文档不存在时允许
      allow create: if isAuthenticated(request) && userId == request.auth.uid && !exists(/databases/$(database)/documents/users/$(userId));
      // 更新用户文档：仅认证用户可更新自己的文档
      allow update: if isAuthenticated(request) && request.auth.uid == resource.id;

      // 嵌套notifications子集合规则
      match /notifications/{notificationId} {
        // 示例：允许用户读写自己的通知
        allow write: if isAuthenticated(request) && request.auth.uid == userId;
        allow read: if isAuthenticated(request) && request.auth.uid == userId;
      }
    }
  }
}

关键调整说明 #

• 明确/users/{userId}的匹配层级，让规则逻辑更清晰
• 限制read权限为仅用户自己可读取，避免全局可读的安全风险
• 修正create和update的条件，确保用户只能操作自己的文档
• 子集合notifications继承父级userId变量，简化权限验证逻辑

内容的提问来源于stack exchange，提问作者Edblocker