Firestore安全规则：根据父文档权限查询子集合

Question

假设我有一个restaurants 集合和menus 子集合。餐厅权限设置在餐厅文档中，如下所示：

餐厅

{
 "roles": {
    "user123": "Owner"
  }
}

有权访问该餐厅的任何人也可以访问其任何子集合，包括 menus 子集合。以下是安全规则：

安全规则

match /restaurants/{restaurantId}/{document=**} {
  allow read: if resource.data.roles[request.auth.uid] > '' ;
}

查询餐厅列表可以这样完成，效果很好：

餐厅查询

firebase
      .firestore()
      .collection('restaurants')
      .where(`roles.${uid}`, '>', '');

现在如何查询menus 子集合？我了解 Firestore 需要在不查看基础数据的情况下根据查询推断权限。从逻辑上讲，这应该是可能的，因为任何可以访问restaurant 的人也可以访问menus 子集合。但是我如何编写这个 menus 子集合查询以便 Firestore 可以推断出来呢？我能想到的最合乎逻辑的查询是这样的：

查询菜单子集合（不起作用）

firebase
     .firestore()
     .doc(`restaurants/${restaurantId}`) // user has access to this restaurant
     .collection('menus');

...但这不适用于权限被拒绝。

Answer 1

事实证明，我需要在restaurant 级别创建 2 个安全规则才能实现我想要的：

    match /restaurants/{restaurantId} {
      allow read: if resource.data.roles[request.auth.uid] > ''
    }

    match /restaurant/{restaurantId}/{document=**} {
      allow read: if get(/databases/$(database)/documents/restaurants/$(restaurantId)).data.roles[request.auth.uid] > '';
    }

为了查询用户有权访问的餐馆，第一条规则是必需的。单独的第二个查询不起作用，虽然我不知道为什么。这是第一条规则的查询：

firebase
      .firestore()
      .collection('restaurants')
      .where(`roles.${uid}`, '>', '');

第二条规则对于所有子集合查询都是必需的。这是一个例子：

firebase
      .firestore()
      .collection(`restaurants/${restaurantId}/menus`);

第二条规则允许子集合查询这一事实非常有趣，因为 Firestore 需要读取 restaurant 文档才能允许此查询。这与其声称它不查看基础数据以进行查询的说法相矛盾，但如果它只需要读取路径中的一个文档，它看起来确实如此。