更换Firebase服务账号密钥后遇SignatureDoesNotMatch错误无法访问存储文件

问题背景 #

Firebase服务账号密钥泄露后被禁用，生成新密钥后，旧密钥签名的文件URL全部无法访问，返回错误：

<Error>
<Code>SignatureDoesNotMatch</Code>
<Message>Access denied.</Message>
<Details>The request signature we calculated does not match the signature you provided. Check your Google secret key and signing method.</Details>
<StringToSign>GET 32503680000 /meditourglobal-ea15d.appspot.com/profile_pictures/IMG_0007.PNG</StringToSign>
</Error>

原因是Firebase Storage的签名URL与生成时使用的服务账号密钥绑定，旧密钥失效后，对应的签名验证直接失败。

解决方案 #

方案1：批量重新生成签名URL并更新数据库 #

这是最直接的修复方式，步骤如下：

1. 确保你的Firebase Admin SDK已配置新的服务账号密钥（你的现有代码配置逻辑正确，只需替换.env中的密钥变量为新值）
2. 编写脚本遍历数据库中存储的所有旧文件路径，重新生成签名URL
3. 将新URL批量替换数据库中的旧记录

示例脚本（基于你的Node.js代码风格）：

require('dotenv').config();
const firebase = require('firebase-admin');

// 初始化Admin SDK（和你的现有配置一致）
const serviceAccount = {
  type: process.env.type,
  project_id: process.env.project_id,
  private_key_id: process.env.private_key_id,
  private_key: process.env.private_key.replace(/\\n/g, '\n'),
  client_email: process.env.client_email,
  client_id: process.env.client_id,
  auth_uri: process.env.auth_uri,
  token_uri: process.env.token_uri,
  auth_provider_x509_cert_url: process.env.auth_provider_x509_cert_url,
  client_x509_cert_url: process.env.client_x509_cert_url,
  universe_domain: process.env.universe_domain
};

firebase.initializeApp({
  credential: firebase.credential.cert(serviceAccount),
  storageBucket: "meditourglobal-ea15d.appspot.com",
});

const bucket = firebase.storage().bucket();

// 批量更新签名URL
async function refreshAllSignedUrls() {
  try {
    // 替换为从数据库读取所有文件路径的逻辑
    const filePaths = [
      'profile_pictures/IMG_0007.PNG',
      // 其他文件路径...
    ];

    for (const filePath of filePaths) {
      const fileRef = bucket.file(filePath);
      // 生成和之前过期时间一致的新签名URL
      const [newSignedUrl] = await fileRef.getSignedUrl({
        action: 'read',
        expires: '01-01-3000'
      });
      // 替换为更新数据库对应记录的逻辑
      console.log(`已更新 ${filePath} 的URL: ${newSignedUrl}`);
    }
    console.log('所有URL更新完成');
  } catch (error) {
    console.error('更新失败:', error);
  }
}

refreshAllSignedUrls();

方案2：设置文件公开访问（仅适用于无隐私需求的文件） #

如果文件不需要权限控制，可以修改Storage规则让文件直接公开访问，无需签名URL：

1. 进入Firebase控制台 → Storage → 规则
2. 将规则修改为：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read: if true; // 开放读取权限
      allow write: if request.auth != null; // 保留写入权限验证
    }
  }
}

3. 发布规则后，直接使用无签名参数的基础URL访问，例如：https://storage.googleapis.com/meditourglobal-ea15d.appspot.com/profile_pictures/IMG_0007.PNG

方案3：改用Firebase下载URL（客户端优先） #

如果不想依赖服务账号生成签名URL，可使用getDownloadURL()方法生成下载链接：

• 客户端：通过Firebase Auth认证后，直接调用文件的getDownloadURL()
• 服务端：需确保文件权限配置正确，可通过Admin SDK生成临时下载令牌，但灵活性不如签名URL

注意事项 #

• 密钥更新后，需检查所有使用旧密钥的服务（定时任务、第三方集成等），确保全部替换为新密钥
• 签名URL的过期时间建议设置合理范围，避免密钥失效后大量URL同时失效
• 后续建议使用IAM角色细化权限，减少服务账号密钥的使用范围

内容的提问来源于stack exchange，提问作者Umer Khayyam