Firebase Firestore 安全规则不会自动过滤数据，而是对客户端发起的查询进行授权校验；若查询未显式包含规则中依赖的字段（如 company_id），即使文档实际满足规则条件，也会因“无法验证”而拒绝访问。
firebase firestore 安全规则不会自动过滤数据，而是对客户端发起的查询进行授权校验；若查询未显式包含规则中依赖的字段（如 `company_id`），即使文档实际满足规则条件，也会因“无法验证”而拒绝访问。
在您的场景中，members 是 branch 文档下的子集合，而安全规则要求 resource.data.company_id 存在且可用于校验管理员权限。但问题在于：Firestore 安全规则在 getDocs() 查询时，会对 整个查询结果集 进行预校验——它必须能静态确定查询返回的每一份文档都满足规则条件。 而 resource.data.company_id 仅在单个文档上下文中存在，规则引擎无法在不明确查询约束的前提下，验证“所有可能匹配的成员文档”是否都拥有有效的 company_id。
因此，即使某条 member 文档实际含有 company_id，若查询未通过索引字段（如 company_id）进行限定，规则引擎将拒绝该请求，报错 Missing or insufficient permissions。
✅ 正确做法是：让查询显式声明其可被规则验证的依据。例如：
// ✅ 正确：添加 where 条件，使规则中的 resource.data.company_id 可被确定性验证
const branchRef = doc(db, "branches", branch_id); // 注意：collection 名建议用复数（如 branches）
const membersRef = collection(branchRef, "members");
const q = query(membersRef, where("company_id", "==", expectedCompanyId));
const snapshot = await getDocs(q);
或使用 orderBy 配合 limit（需配合复合索引）：
// ✅ 也可行（需提前在 Firebase 控制台创建对应索引）：
const q = query(membersRef, orderBy("company_id"), limit(100));
⚠️ 注意事项：
- resource.data 在 match /{path=**}/members/{member} 中指向具体 member 文档，因此 resource.data.company_id 必须真实存在于该文档中；
- 规则中 isCompanyAdmin(resource.data.company_id, request.auth.uid) 的调用前提是 resource.data.company_id 可安全访问——这只有在查询已约束 company_id 字段时才成立；
- 不要依赖 request.query 或运行时变量绕过规则；Firestore 规则设计为静态可验证，所有校验必须基于查询结构 + 文档字段；
- 始终在 Firebase 控制台的「索引」页面检查并部署所需复合索引（尤其是含 where + orderBy 的组合）。
? 总结：Firestore 安全规则 ≠ SQL WHERE 子句。它们是 访问门禁，而非 数据筛子。要让规则生效，查询必须“自我证明”其结果必然满足规则前提——最直接的方式，就是让查询包含规则所依赖的字段条件。
