如何解决Cloud Storage模拟器因Closed Access规则导致的读取错误？

问题根源 #

生产环境中，Firebase Admin SDK发起的Storage请求会被自动标记为特权请求，规则中的request.app.admin会被设为true，因此你设置的封闭规则能正常生效。但Storage模拟器默认不会为测试请求自动附加这个特权标识，导致规则判断为false，触发权限错误。

具体解决方法 #

1. 修正规则为标准Admin SDK授权写法

将你的规则修改为通过request.app判断Admin SDK身份，这是官方推荐的方式，同时兼容生产和模拟器环境：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{file=**} {
      allow read, write: if request.app != null && request.app.admin == true;
    }
  }
}

2. 模拟器测试时手动附加特权标识

• 控制台模拟器测试：在Storage模拟器的测试界面，点击「添加自定义声明」，输入{"admin": true}，或者在「请求上下文」中设置request.app.admin = true。
• 代码/CLI测试：如果用Node.js代码测试，确保Admin SDK连接到模拟器，并初始化时指定模拟器地址：

const admin = require('firebase-admin');

admin.initializeApp({
  storageBucket: '你的存储桶名称.appspot.com',
  credential: admin.credential.applicationDefault(),
});

// 指向Storage模拟器
const storage = admin.storage();
storage.bucket().setEmulatorHost('localhost', 9199);

通过Admin SDK连接模拟器发起的请求，会自动被识别为特权请求，规则判断会通过。

3. 临时放宽模拟器规则（可选）

如果只是临时测试，不想修改代码，可以在规则中添加模拟器专属的放行条件（不会影响生产环境）：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{file=**} {
      // 生产环境：仅Admin SDK；模拟器：临时放行
      allow read, write: if request.app.admin == true || request.time < timestamp.date(2030, 1, 1);
    }
  }
}

这个时间条件在生产环境永远不会触发，只有模拟器测试时生效。

内容的提问来源于stack exchange，提问作者bgrand-ch