Firestore 安全规则不充当数据过滤器，当查询未满足规则中引用的字段条件时（如 resource.data.company_id），即使文档实际存在，也会因规则无法验证而拒绝访问。必须在客户端查询中显式匹配规则依赖的字段。
firebase 安全规则不充当数据过滤器，当查询未满足规则中引用的字段条件时（如 resource.data.company_id），即使文档实际存在，也会因规则无法验证而拒绝访问。必须在客户端查询中显式匹配规则依赖的字段。
在 Firestore 中，安全规则（Security Rules）不是查询过滤器，而是访问控制闸门——它们仅验证“当前请求是否被允许读取/写入所涉及的文档”，但不会自动筛选出符合规则条件的文档。你遇到的 FirebaseError: Missing or insufficient permissions 正是典型表现：规则中引用了 resource.data.company_id，但在执行 getDocs(query(memberRef)) 时，该查询未限定任何条件，Firestore 无法预判返回的每个成员文档是否都满足 resource.data.company_id != null，因此为安全起见，直接拒绝整个请求。
关键问题在于：resource.data 仅在规则引擎评估具体某一份文档时才可访问其字段；而未加约束的通配查询（如空 query()）可能匹配任意文档，规则引擎无法保证所有潜在匹配文档都拥有 company_id 字段或满足逻辑，故判定为不安全。
✅ 正确做法：让客户端查询显式声明规则所依赖的约束条件。例如，若规则要求 company_id 存在且非空，则查询必须包含对应 where 子句：
// ✅ 正确：添加 where 条件，使查询与规则语义对齐
const branchRef = doc(db, "branches", branch_id); // 注意：collection 名建议用复数（如 "branches"）
const membersRef = collection(branchRef, "members");
const q = query(membersRef, where("company_id", "!=", null)); // 或更稳妥地：where("company_id", ">=", "");
const querySnapshot = await getDocs(q);
⚠️ 注意事项：
- where("company_id", "!=", null) 在 Firestore 中不被索引支持，推荐改用 where("company_id", ">=", "")（假设 company_id 是字符串）或 where("company_id", "!=", "")（需确保字段始终为字符串且非空）；
- 若 company_id 为字符串类型，且所有有效文档均非空，where("company_id", "!=", "") 是安全且可索引的选择；
- 确保已在 Firebase 控制台或 CLI 中为该查询创建复合索引（如提示缺失索引，请按错误信息中的链接一键生成）；
- 规则函数 isCompanyAdmin 中 companyId != null 逻辑需与实际数据一致——若 company_id 实际存储为字符串，应改为 companyId != "" && companyId is string；
- 避免在规则中使用 resource.data 做复杂业务校验（如跨集合查 admin 身份），优先将权限判断前置到查询条件中，保持规则轻量、可预测。
总结：Firestore 安全规则与查询必须协同设计。规则定义“谁能访问什么”，而查询必须明确“我要访问哪些”——二者语义一致，权限才生效。切勿依赖规则“帮您过滤”，而应主动用 where、orderBy 等构建合规查询。
