Firestore权限拒绝问题排查：服务端ServiceAccount配置疑义

问题核心 #

编写Firestore安全规则后，部署在Google Cloud Run的Node.js后端触发permission-denied错误。开放规则后API恢复正常，说明服务端未正确使用ServiceAccount权限，误用了客户端Firebase SDK进行数据库操作，导致请求受安全规则拦截。

代码问题分析 #

1. 客户端SDK配置误区 #

fireBaseConfig.js中初始化的是客户端Firebase SDK，通过getFirestore(app)获取的数据库实例会严格遵守Firestore安全规则，不会自动继承ServiceAccount的权限：

// 客户端Firestore实例，受安全规则限制
export const db = getFirestore(app);

2. Admin SDK未实际使用 #

serviceAccount.js中正确初始化了Admin SDK，但未将其Firestore实例用于业务逻辑，API代码仍依赖客户端SDK的db对象，导致请求未携带ServiceAccount的认证凭证。

3. API代码的实例误用 #

登录接口中导入的是客户端SDK的db，而非Admin SDK提供的权限绕过实例：

// 错误：使用客户端SDK实例
import { db } from "../../constants/fireBaseConfig.js";
const USERS = collection(db, COLLECTION.USER);

错误日志验证 #

日志显示请求通过Firestore REST API发送，使用客户端认证方式，未附带ServiceAccount权限信息，因此触发权限拦截：

@firebase/firestore: Firestore (10.11.1_lite): RestConnection RPC 'RunQuery' failed with error:  [FirebaseError: Request failed with error: Missing or insufficient permissions.] {
  code: 'permission-denied'
}

修复方案 #

步骤1：修改Admin SDK配置，导出权限实例 #

在serviceAccount.js中添加Admin Firestore实例的导出：

import admin from "firebase-admin";

const SERVICE_ACCOUNT = {
  type: process.env.SERVICE_ACCOUNT,
  project_id: process.env.PROJECT_ID,
  private_key_id: process.env.PRIVATE_KEY_ID,
  private_key: process.env.PRIVATE_KEY.replace(/\\n/g, "\n"),
  client_email: process.env.CLIENT_EMAIL,
  client_id: process.env.CLIENT_ID,
  auth_uri: process.env.AUTH_URI,
  token_uri: process.env.TOKEN_URI,
  auth_provider_x509_cert_url: process.env.AUTH_PROVIDER,
  client_x509_cert_url: process.env.CLIENT_CERT_URL,
  universe_domain: process.env.UNIVERSE_DOMAIN,
};

const adminApp = admin.initializeApp({
  credential: admin.credential.cert(SERVICE_ACCOUNT),
  serviceAccountId: process.env.CLIENT_EMAIL,
});

// 导出Admin SDK的Firestore实例（绕过安全规则）
export const adminDb = adminApp.firestore();
export default adminApp;

步骤2：替换API中的数据库实例 #

在登录接口中，改用Admin SDK的adminDb：

// 替换为Admin SDK实例
import { adminDb } from "../../constants/serviceAccount.js";

// 使用Admin SDK的集合定义方式
const USERS = adminDb.collection(COLLECTION.USER);
const OTPS = adminDb.collection(COLLECTION.OTP);
const EVENTS = adminDb.collection(COLLECTION.EVENT);
const APP_INFOS = adminDb.collection(COLLECTION.AAP_INFO);

步骤3：额外验证 #

• 确认Cloud Run环境变量中PRIVATE_KEY的换行符替换正常（replace(/\\n/g, "\n")），避免密钥格式错误。
• 检查ServiceAccount邮箱是否拥有Firebase项目的Editor/Owner权限，或至少具备Firestore读写权限。

内容的提问来源于stack exchange，提问作者banks