Firebase实时数据库REST API带令牌仍返回Unauthorized问题求助

针对你遇到的Blazor Server应用中，Firebase REST API多路径原子更新返回Unauthorized（单路径正常、移除规则正常）的问题，给出以下排查思路：

1. 修正请求方法：用Patch替代Put做多路径原子更新 #

你当前使用HttpMethod.Put请求根节点.json，这会替换整个lotes节点的内容，而非仅更新目标子路径。Firebase的多路径原子更新需要用Patch方法，它会仅修改JSON中指定的路径，同时触发对应子路径的规则检查，而非父节点的全量替换权限检查。

修改代码中的请求方法：

HttpRequestMessage request = new HttpRequestMessage
{
    Method = HttpMethod.Patch, // 替换为Patch
    RequestUri = new Uri($"{firebaseUrl}.json"),
    Content = new StringContent(jsonContent, System.Text.Encoding.UTF8, "application/json")
};

2. 检查安全规则是否覆盖所有被修改路径的权限 #

Firebase在处理多路径更新时，会逐一检查每个被修改的叶子节点的写权限，而非仅检查根节点或父节点。确保你的规则明确允许当前用户对lotes/{idPropriedade}/{idLote}/nomePropriedade路径的写操作，例如：

{
  "rules": {
    "lotes": {
      "$idPropriedade": {
        "$idLote": {
          "nomePropriedade": {
            ".write": "auth != null && auth.uid == /* 关联用户的uid逻辑 */"
          }
        }
      }
    }
  }
}

如果规则仅在父节点设置了宽泛权限，而子节点未明确允许，可能会触发Unauthorized。

3. 验证ID Token的有效性与Claims #

用GetIdTokenAsync(true)获取的令牌需确保包含规则依赖的正确Claims：

• 将token复制到JWT解码工具查看uid、email等字段是否正确；
• 确认令牌未过期（exp字段为过期时间戳）；
• 检查规则中是否依赖了自定义Claims（如用户角色），若有需确认令牌中包含该字段。

4. 使用Firebase规则模拟器验证权限 #

在Firebase控制台的规则模拟器中，模拟当前用户的uid，尝试写入目标路径lotes/{idPropriedade}/{idLote}/nomePropriedade：

• 若模拟器返回权限拒绝，直接定位规则逻辑问题；
• 若模拟器通过，则排查代码中令牌传递或请求格式的问题。

5. 排查请求令牌传递的正确性 #

• 确认Authorization头格式正确：Bearer 后需有空格，令牌完整无截断；
• 可将代码中的token复制到Postman中手动发送Patch请求，排除代码中HttpClient配置的问题；
• 避免同时使用Authorization头和URL参数（auth/access_token）传递令牌，二者选一即可。

内容的提问来源于stack exchange，提问作者Ilian Felinto