Firestore安全规则权限拒绝错误修复求助：Null值与get参数问题

问题现象 #

使用Firebase模拟器时出现快照监听器错误：

Uncaught Error in snapshot listener: FirebaseError: [code=permission-denied]:
Null value error. for 'list'

在Firestore规则playground运行相同查询时，出现参数错误：

Error: Invalid argument provided to call. Function: [get], Argument: ["||invalid_argument||"]

原规则代码：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {

    match /chats/{chatId} {

      allow read: if isChatParticipant(database, chatId);
    }
  }
}

function isChatParticipant(database, chatId) {
  let chat = get(/databases/$(database)/documents/chats/$(chatId));
  
  return chat != null && 
    (
      (chat.data.keys().has('customerUid') && isUser(chat.data.customerUid)) ||
      (chat.data.keys().has('sellerUid') && isUser(chat.data.sellerUid))
    );
}

问题根源 #

1. 列表查询的无效参数：执行列表查询时，chatId是通配符，此时调用get()会因无法解析具体文档ID抛出「无效参数」错误。
2. get()函数行为误区：get()在文档不存在时直接抛出错误，而非返回null，所以chat != null的判断完全无效。
3. 规则与查询不匹配：Firestore列表查询要求规则直接验证查询条件，无法为每个潜在文档单独执行get()校验，导致权限被拒绝。

修复方案 #

1. 改用resource直接访问文档数据 #

规则中匹配的文档可通过resource对象直接获取数据，无需额外调用get()，避免不必要的错误。

2. 区分单个文档读取与列表查询规则 #

分别为get（单个文档）和list（列表）设置针对性规则，确保列表查询能与客户端查询条件匹配。

3. 用exists()判断文档存在性 #

替换get()的存在性判断，避免文档不存在时抛出错误。

修复后的完整规则代码 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /chats/{chatId} {
      // 单个文档读取：验证当前用户是聊天参与者
      allow get: exists(/databases/$(database)/documents/chats/$(chatId)) && 
        (isUser(resource.data.customerUid) || isUser(resource.data.sellerUid));
      
      // 列表查询：要求客户端查询必须包含当前用户UID的过滤条件
      allow list: request.query.where('customerUid', '==', request.auth.uid) || 
        request.query.where('sellerUid', '==', request.auth.uid);
    }
  }
  
  // 辅助函数：验证当前请求用户与目标UID一致
  function isUser(targetUid) {
    return request.auth != null && request.auth.uid == targetUid;
  }
}

客户端查询配合要求 #

客户端查询聊天列表时，必须添加与规则匹配的过滤条件，示例如下（JavaScript）：

// 获取当前用户作为客户参与的聊天
db.collection('chats')
  .where('customerUid', '==', currentUser.uid)
  .onSnapshot(snapshot => {
    // 处理快照数据
  });

// 或者同时查询作为客户和卖家的聊天（需用in查询，注意in的数量限制）
const currentUid = currentUser.uid;
db.collection('chats')
  .where(firebase.firestore.FieldPath.documentId(), 'in', [
    // 预先通过其他方式获取用户参与的所有聊天ID列表
  ])
  .get()
  .then(querySnapshot => {
    // 处理查询结果
  });

关键注意点 #

• 列表查询必须严格符合规则中的条件，Firestore会拒绝任何未携带对应过滤条件的宽泛查询。
• resource.data仅在文档存在时可用，配合exists()使用可避免空值错误。
• 规则中的request.auth需确保用户已登录，若允许匿名用户需额外处理。

内容的提问来源于stack exchange，提问作者Jasperan