Firebase Storage安全规则生效后文件仍可公访，如何限制仅App认证用户访问

问题根源 #

你当前生成的downloadUrl是永久公开的签名URL，会绕过Firebase Storage的安全规则——因为这个URL本身包含了访问权限，任何人拿到就能直接访问。要实现仅认证用户可访问，需要放弃存储永久下载URL，改用SDK结合认证状态直接访问文件。

解决方案步骤 #

1. 修改上传逻辑，存储文件路径而非永久URL #

通过Firebase SDK上传文件时默认是私有权限，可显式设置元数据强化，同时不再返回永久下载URL，而是返回文件的存储路径（objectKey）：

override suspend fun uploadFile(file: File, folderName: String): String = withContext(Dispatchers.IO) {
    val uniqueId = UUID.randomUUID()
    val objectKey = "$folderName/$uniqueId.${file.extension}"
    val storageRef = storage.reference.child(objectKey)

    // 显式设置私有元数据，禁止公共缓存
    val metadata = StorageMetadata.Builder()
        .setContentType("image/${file.extension}")
        .setCacheControl("private, max-age=0")
        .build()

    storageRef.putFile(file.toUri(), metadata).await()
    
    // 返回文件的存储路径，而非永久下载URL
    objectKey
}

将这个objectKey存储到Firestore即可，无需保存下载URL。

2. 在应用内通过SDK加载文件（需用户已认证） #

所有文件访问必须通过Firebase SDK，且仅在用户已认证时执行，此时安全规则会生效，拒绝未认证请求。

方式一：直接获取文件字节流（推荐，无URL泄露风险）

suspend fun getImageBytes(objectKey: String): ByteArray = withContext(Dispatchers.IO) {
    val storageRef = storage.reference.child(objectKey)
    val maxSize = 5 * 1024 * 1024 // 限制加载5MB以内的文件，可按需调整
    storageRef.getBytes(maxSize.toLong()).await()
}

在Jetpack Compose中加载图片：

@Composable
fun AppImage(objectKey: String) {
    val imageBytes = remember { mutableStateOf<ByteArray?>(null) }
    LaunchedEffect(objectKey) {
        // 先判断用户是否已认证
        if (Firebase.auth.currentUser != null) {
            try {
                imageBytes.value = yourRepository.getImageBytes(objectKey)
            } catch (e: Exception) {
                // 处理加载失败（无权限、文件不存在等）
                Log.e("ImageLoad", "Failed to load image", e)
            }
        }
    }

    imageBytes.value?.let { bytes ->
        val bitmap = BitmapFactory.decodeByteArray(bytes, 0, bytes.size).asImageBitmap()
        Image(
            bitmap = bitmap,
            contentDescription = null,
            modifier = Modifier.fillMaxWidth()
        )
    } ?: CircularProgressIndicator() // 加载中占位符
}

方式二：获取临时签名URL（有效期1小时）

如果需要配合Coil等图片加载库用URL加载，可生成临时签名URL：

suspend fun getTemporaryDownloadUrl(objectKey: String): String = withContext(Dispatchers.IO) {
    val storageRef = storage.reference.child(objectKey)
    storageRef.downloadUrl.await().toString()
}

这个URL仅在1小时内有效，且只有已认证用户能生成，过期后需重新获取。

3. 强化安全规则（可选） #

可以细化规则路径，或结合App Check确保请求来自你的应用：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{folderName}/{fileName} {
      allow read, write: if request.auth != null;
      // 可选：结合App Check进一步限制请求来源
      // allow read, write: if request.auth != null && request.app != null;
    }
  }
}

关键注意事项 #

• 绝对不要存储或泄露永久下载URL，它会绕过安全规则。
• 所有文件访问必须通过Firebase SDK，且用户处于已认证状态，此时安全规则才会生效。
• 若启用Firebase App Check，可进一步防止第三方应用模仿请求访问存储资源。

内容的提问来源于stack exchange，提问作者Rakesh Rebbavarapu