Firebase实时数据库规则配置问题：用户无法读取自身订单

我来帮你搞定这个权限拒绝的问题，你的规则逻辑存在一个关键误区——Firebase实时数据库的规则是从上到下逐层评估的：你当前给orders节点根级设置的.read仅允许管理员访问，所以普通用户直接在orders节点执行查询时，第一步就被根级规则拦截了，根本不会走到$orderId层级的权限判断。

问题核心 #

你想用equalTo(customerId)查询自己的订单，这种场景需要在orders节点的根级.read规则中直接适配查询条件，而不是只在子节点做权限校验。

修正后的规则代码 #

{
  "rules": {
    "orders": {
      // 普通用户仅能查询属于自己的订单，需满足查询条件匹配
      ".read": "auth != null && query.orderByChild == 'customerId' && query.equalTo(auth.uid)",
      // 管理员拥有全量写入权限
      ".write": "auth.token.admin === true",
      "$orderId": {
        // 单个订单的权限兜底：仅所属用户或管理员可读取
        ".read": "auth != null && (auth.uid === data.child('customerId').val() || auth.token.admin === true)",
        ".write": "auth.token.admin === true"
      }
    }
  }
}

规则说明 #

• 根级orders的.read：先确保用户已登录（auth != null），然后强制要求查询必须按customerId排序（query.orderByChild == 'customerId'），且查询值等于当前用户的uid（query.equalTo(auth.uid)）。这样普通用户只能通过符合条件的查询获取自己的订单。
• $orderId层级规则：作为兜底，确保即使用户拿到了某个订单ID，也只能访问属于自己的订单，管理员则不受限制。

正确的查询写法示例（JavaScript SDK） #

const currentUser = firebase.auth().currentUser;
if (currentUser) {
  firebase.database().ref('orders')
    .orderByChild('customerId')
    .equalTo(currentUser.uid)
    .on('value', (snapshot) => {
      // 处理你的订单数据
      console.log(snapshot.val());
    });
}

关键注意点 #

Firebase规则不会自动过滤数据，只会校验你的查询是否符合权限要求。如果你的查询缺少orderByChild('customerId')步骤，或者查询值与当前用户uid不匹配，都会触发权限拒绝错误。

内容的提问来源于stack exchange，提问作者varun