Cloud Firestore权限异常：仅允许作者读取却触发PERMISSION_DENIED

这是典型的规则逻辑与代码调用不匹配导致的权限问题，我帮你拆解清楚来解决：

为什么会触发权限拒绝？ #

你设置的「仅允许文档作者读取」规则，通常是类似这样的逻辑：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userId} {
      allow read, write: if request.auth != null && request.auth.uid == userId;
    }
  }
}

这种规则的核心是：只有文档ID和当前登录用户UID完全一致的文档，才允许该用户读取。

而你的Android代码db.collection("users").get()是在请求读取整个users集合的所有文档，Firestore会校验你是否有权限访问集合内的每一条文档——显然你不可能是所有用户文档的作者，所以整个请求被规则拦截，抛出PERMISSION_DENIED错误。

正确的处理方案 #

根据你的业务需求，分两种场景调整：

1. 仅读取当前登录用户自己的文档 #

这是符合你现有规则的正确用法，需要指定读取当前用户UID对应的文档：

FirebaseAuth auth = FirebaseAuth.getInstance();
FirebaseUser currentUser = auth.getCurrentUser();

if (currentUser != null) {
    // 读取当前用户专属的users文档
    db.collection("users").document(currentUser.getUid())
        .get()
        .addOnCompleteListener(appExecutors.networkIO(), task -> {
            if (task.isSuccessful()) {
                DocumentSnapshot document = task.getResult();
                if (document.exists()) {
                    // 处理用户数据逻辑
                } else {
                    // 文档不存在的处理逻辑
                }
            } else {
                // 处理错误（权限/网络等问题）
            }
        });
} else {
    // 用户未登录，需要先引导完成Firebase Auth登录
}

2. 确实需要读取整个users集合 #

如果业务场景必须读取所有用户文档，那需要调整Firestore规则，比如添加管理员权限（示例逻辑，需根据实际需求修改）：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userId} {
      allow read: if request.auth != null && (request.auth.uid == userId || request.auth.token.email == "admin@yourdomain.com");
      allow write: if request.auth != null && request.auth.uid == userId;
    }
  }
}

⚠️ 注意：放宽集合读取权限时一定要谨慎，避免出现数据泄露风险。

额外排查要点 #

• 确认用户已完成登录：规则里request.auth != null是基础前提，如果调用代码时用户还没完成Firebase Auth登录，request.auth会是null，直接触发权限拒绝。
• 用规则模拟器验证：在Firebase控制台的Firestore规则页面，使用模拟器分别模拟「读取集合」和「读取单个用户文档」的请求，验证规则逻辑是否符合预期。
• 检查文档ID与UID的匹配性：确保users集合内的文档ID确实对应用户的UID，否则即使用户登录，也会因为ID不匹配被拒绝访问。

内容的提问来源于stack exchange，提问作者Mustafa ALMulla