Firestore安全规则：基于父文档权限查询子集合

Question

假设我有一个餐厅集合，其中包含菜单子集合。餐厅权限设置在餐厅文档中，如下所示：

餐馆

{
 "roles": {
    "user123": "Owner"
  }
}

任何有权访问餐厅的人也可以访问它的任何子集合，包括菜单子集合。这是安全规则：

安全规则

match /restaurants/{restaurantId}/{document=**} {
  allow read: if resource.data.roles[request.auth.uid] > '' ;
}

查询餐厅列表可以这样完成，而且效果很好：

查询餐厅

firebase
      .firestore()
      .collection('restaurants')
      .where(`roles.${uid}`, '>', '');

现在如何查询菜单子集合？我知道Firestore需要根据查询推断权限，而不查看底层数据。从逻辑上讲，这应该是可能的，因为任何可以访问餐厅的人也可以访问菜单子集合。但是我如何组合这个菜单子集合查询，以便Firestore可以推断出这一点呢？我能提出的最符合逻辑的查询如下：

查询菜单子集合（不工作）

firebase
     .firestore()
     .doc(`restaurants/${restaurantId}`) // user has access to this restaurant
     .collection('menus');

...但这在许可被拒绝的情况下是行不通的。

Answer 1

事实证明，我需要在餐厅级别创建两条安全规则，以实现我的目标：

    match /restaurants/{restaurantId} {
      allow read: if resource.data.roles[request.auth.uid] > ''
    }

    match /restaurant/{restaurantId}/{document=**} {
      allow read: if get(/databases/$(database)/documents/restaurants/$(restaurantId)).data.roles[request.auth.uid] > '';
    }

为了查询用户有权访问的餐厅，第一条规则是必需的。仅第二个问题是行不通的，尽管我不知道为什么。这是对第一条规则的查询：

firebase
      .firestore()
      .collection('restaurants')
      .where(`roles.${uid}`, '>', '');

第二条规则对于所有子集合查询都是必需的。下面是一个例子：

firebase
      .firestore()
      .collection(`restaurants/${restaurantId}/menus`);

第二条规则允许子集合查询的事实非常有趣，因为FiRecovery需要读取Restaurant文档才能允许此查询。这与其声称它不查看查询的底层数据的说法相矛盾，但如果它只需要读取路径中的一个文档，它看起来就像是这样。