Firestore规则：在集合和所有子集合中制作文档遵循相同的规则

Question

users
  user1
  user2
  user3
group
  group1
  group2
  group3
     subcollections1
        subdoc11
        subdoc12
     subcollections2
        subdoc21
        subdoc22

所以我现在的规则是这样的。

match /groups/{document=**} {
  allow read, write: if resource.data.users[request.auth.uid] != null;
}

我的问题是，即使在写到子集合时，它是否会准确地检查用户是否在group1->doc->subcollection->doc-'members'中，或者在这种情况下，它是否会签入group1->doc->subcollection->doc-'members'？

因为members列表只在groups集合中，而不在子集合中，所以不希望出现第二种情况。

Answer 1

虽然我实际上没有尝试过，resource.data变量是对正在访问的文档的引用。因此，如果路径访问文档/groups/group3/subcollections1/subdoc11，则该文档将由resource.data引用。因此，我认为你的规则不会像预期的那样有效。

关于如何实现所需的行为，请注意，最好在最细的级别定义Firestore规则。这将防止在应该应用更严格的规则而应用更广泛的规则时意外地授予访问权限。我想提出类似的建议：

match /groups/{groupId} {
  allow read, write: if resource.data.users[request.auth.uid] != null;
}

match /groups/{groupId}/{subcollection}/{documentId} {
  allow read, write: if get(/databases/$(database)/documents/$(groupId)).data.users[request.auth.uid] != null
}

有关进一步的参考资料，请查看以下有关规则如何工作和示例规则的页面。