Firestore 安全规则不自动过滤数据，当对子集合（如 branch/{id}/members）执行无条件查询时，即使文档满足规则，也会因缺少匹配的查询约束而被拒绝；必须在客户端查询中显式添加 where() 或 orderBy() 条件，使查询与规则中引用的字段（如 company_id）对齐。
firebase 安全规则不自动过滤数据，当对子集合（如 `branch/{id}/members`）执行无条件查询时，即使文档满足规则，也会因缺少匹配的查询约束而被拒绝；必须在客户端查询中显式添加 `where()` 或 `orderby()` 条件，使查询与规则中引用的字段（如 `company_id`）对齐。
在 Firestore 中，安全规则 不是过滤器（Rules are not filters） —— 这是导致你遇到 FirebaseError: Missing or insufficient permissions 的根本原因。你的规则中使用了 resource.data.company_id，这意味着规则引擎需要读取每个待匹配文档的 company_id 字段来执行判断。但 Firestore 要求：任何依赖 resource.data 的读操作，其对应查询必须能“证明”它只访问满足该字段约束的文档，否则规则直接拒绝（即使文档实际存在且符合条件）。
你的当前规则：
match /{path=**}/members/{member} {
function isCompanyAdmin(companyId, userId) {
return companyId != null; // 逻辑未完成，但关键不在这里
}
allow read: if request.auth != null && isCompanyAdmin(resource.data.company_id, request.auth.uid);
}
看似合理，但 resource.data.company_id 只有在规则引擎能安全访问该字段时才有效——而这要求查询本身已通过索引和约束“限定范围”。由于你执行的是无条件查询：
const memberRef = collection(branchRef, "members"); const q = query(memberRef); // ❌ 没有 where() 或 orderBy() await getDocs(q);
Firestore 无法保证返回的文档一定包含 company_id 字段（或满足 isCompanyAdmin），因此拒绝整个请求，哪怕 Playground 中单条文档测试通过（Playground 模拟单文档访问，不模拟查询语义）。
✅ 正确做法：在客户端查询中添加与规则中字段一致的约束条件。例如，假设 members 文档均含有 company_id 字段，且你期望仅读取属于当前用户所在公司的成员：
import { collection, query, where, getDocs } from 'firebase/firestore';
const branchRef = doc(db, "branches", branch_id); // 注意：建议使用复数路径名如 "branches"
const membersRef = collection(branchRef, "members");
// ✅ 添加 where 条件，与规则中 resource.data.company_id 对应
const q = query(membersRef, where("company_id", "==", currentUserCompanyId));
const snapshot = await getDocs(q);
snapshot.forEach(doc => {
console.log(doc.id, "=>", doc.data());
});
⚠️ 注意事项：
- where() 是最直观、最推荐的方式，确保查询明确指向含特定 company_id 的文档；
- orderBy("company_id") 也可触发规则匹配（因排序隐含字段存在性假设），但不能单独使用——需配合 limit() 或其他约束，且不如 where() 语义清晰、性能可控；
- 确保 company_id 字段已建立单字段索引（Firestore 通常自动提示创建，或在控制台手动添加）；
- 规则中的 isCompanyAdmin 函数应补充真实逻辑（如检查用户是否为该公司管理员），当前 companyId != null 仅为占位，实际应结合 get() 查询角色集合等；
- 路径通配符 {path=**} 虽灵活，但易引发意外匹配，建议显式声明路径以提升可维护性，例如：
match /branches/{branchId}/members/{memberId} { allow read: if request.auth != null && exists(/databases/$(database)/documents/companies/$(resource.data.company_id)) && get(/databases/$(database)/documents/companies/$(resource.data.company_id)).data.admins[request.auth.uid] == true; }
总结：Firestore 安全规则与查询必须协同设计——规则定义“谁能读什么”，而查询必须主动声明“我要读哪些”，二者字段与逻辑需严格对齐。脱离查询约束谈规则校验，必然失败。
