Firestore安全规则resource.data返回异常引发权限拒绝问题求助

你的Flutter代码正在读取dms/{userMessageId}/messages子集合，但当前安全规则存在逻辑偏差：当请求messages文档时，resource.data指向的是messages文档自身的数据，而非父级dms文档的firstUserId/secondUserId字段。由于messages文档不包含这两个字段，规则中的权限判断条件永远不成立，导致权限拒绝。硬编码UID能生效，是因为绕过了读取resource.data的步骤。

1. 修改Firestore安全规则，验证父级dms文档权限 #

调整规则结构，针对messages子集合单独配置权限，通过get()方法获取父级dms文档的参与者信息，判断当前用户是否有权限访问：

match /dms/{dmsId} {
  // 主dms文档的权限规则
  allow read, update, delete: 
    if request.auth.uid == resource.data.firstUserId ||
       request.auth.uid == resource.data.secondUserId;
  allow create: 
    if request.auth.uid == request.resource.data.firstUserId ||
       request.auth.uid == request.resource.data.secondUserId;

  // 子集合messages的权限规则
  match /messages/{messageId} {
    allow read, create, update, delete: 
      let dmDoc = get(/databases/$(database)/documents/dms/$(dmsId)).data;
      return request.auth != null && (request.auth.uid == dmDoc.firstUserId || request.auth.uid == dmDoc.secondUserId);
  }
}

2. 验证数据结构与字段有效性 #

• 确认dms/{userMessageId}文档确实存在，且包含firstUserId和secondUserId字段
• 检查字段值为字符串类型的用户UID，确保与request.auth.uid格式完全一致（注意大小写、无额外空格）

3. 规则调试（可选） #

使用Firestore规则模拟器测试请求，添加debug()语句查看数据：

match /messages/{messageId} {
  allow read: 
    let dmDoc = get(/databases/$(database)/documents/dms/$(dmsId)).data;
    debug(dmDoc); // 模拟器会输出父级文档数据
    return request.auth.uid == dmDoc.firstUserId || request.auth.uid == dmDoc.secondUserId;
}

内容的提问来源于stack exchange，提问作者Jaden Watt