Reglas de seguridad de la base de datos de Firestore: Problema con la restricción de colección basada en un array de otra colección.

Tenemos problemas con nuestra configuración de reglas de seguridad.

Nuestro código se ve así:

service cloud.firestore {
match /databases/{database}/documents {

  function sameCompany(){
    return get(/databases/$(database)/documents/users/$(request.auth.uid)).data.companyId == resource.data.companyId
    && request.auth.uid in get(/databases/$(database)/documents/companies/$(resource.data.companyId)).data.users;
  }

  match /orders/{orderId} {
      allow read: if request.auth != null && sameCompany();
}}

Las colecciones tienen la siguiente estructura:

orders/{orderId}

users/{userId}

companies/{companyId}

Cada documento en “orders” tiene un companyId. Cada documento en “users” tiene un companyId. Cada documento en “companies” tiene un array que contiene los userIds que pertenecen a la compañía.

Solo los usuarios que tienen el mismo companyId que el pedido y cuyo userId está en el array de la compañía deberían poder leer los pedidos. Esto es para tener una doble seguridad y evitar que los usuarios cambien su companyId para leer pedidos de otra compañía.

La parte anterior al && funciona correctamente. Si coloco manualmente un array después de “request.auth.uid in ” que contiene el userId que está haciendo la consulta, también funciona correctamente. Pero de alguna manera no funciona de esta manera y no puedo encontrar el problema aquí.

¿Alguien puede ayudar? ¡Gracias por su tiempo!

Edit1:
Gracias por sus respuestas hasta ahora.

Entonces, la consulta se ve así:

query(
  collection(db, "orders"),
  where("companyId", "==", user.companyId)
)

Almacenamos en el almacenamiento local el usuario con el companyId. Sin la segunda parte después del &&, los datos se recuperan correctamente, pero con ella no se muestra nada. Queremos verificar doblemente si el usuario tiene el mismo companyId y si está en el array de usuarios de la compañía en caso de que alguien intente adivinar el companyId de otra compañía y pueda acceder a los datos de alguna manera. De esta manera, necesitarías conocer tanto el companyId como el userId.

Los datos podrían verse simplemente así:

Documento de usuarios con uId1:
{companyId: cId1, …}

Documento de pedidos con dId1:
{companyId: cId1, …}

Documentos de compañías con cId1:
{users: [uId1], …}