Firebase 规则对尝试保存收藏项目的用户给予 PERMISSION DENIED

Question

这是我的 Firestore 目录结构：

items \ {document} \ 1 item with date, image etc
users \ {document} \ favoriteItems

启动时：应用下载项目列表。

这些是我的老规矩，显然不适合生产：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

但是按照旧规则，我没有得到错误。所以它必须在规则中。

当用户第一次收藏某项时，users 集合中尚不存在该用户。 users 子目录有document=** 通配符：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {    
    match /items/{document} {
      allow read, write: if request.auth.uid != null;
    }    
    match /users/{document=**} {
      allow read, write: if request.auth.uid == request.resource.data.author_uid
    }
  }
}

但是这些规则给出了以下错误：

Firestore: (21.4.2) [Firestore]: Listen for Query(target=Query(users/vsfcRpgewjNdFfQomf7MohcOMcA3/favoriteItems order by name);limitType=LIMIT_TO_FIRST) 失败：状态{code=PERMISSION_DENIED , description=缺少或权限不足。, cause=null}

这似乎很明显，因为第一次document 还不存在。但是，当它存在时，我也会收到相同的错误消息。这有什么适当的规则？

Answer 1

您正在尝试从集合 users/vsfcRpgewjNdFfQomf7MohcOMcA3/favoriteItems 中读取数据，但只为 users/vsfcRpgewjNdFfQomf7MohcOMcA3 定义了规则。由于您没有在这些规则中授予递归访问权限，因此拒绝访问嵌套集合。

您需要使用recursive wildcard 允许嵌套访问：

match /users/{document=**} {
  allow read, write: if request.auth.uid == request.resource.data.author_uid
}

或者，允许访问特定的子集合：

match /users/{document} {
  allow read, write: if request.auth.uid == request.resource.data.author_uid
  match /favoriteItems/{favorite} {
      allow read, write: if request.auth.uid == request.resource.data.author_uid
  }
}

如果嵌套集合的规则与包含文档的权限不同，则后者更有用。