Cloud Firestore权限拒绝问题求助：配置权限与规则仍报错

• 确认Cloud Function实际运行的服务账号
  登录GCP控制台，进入该Cloud Function的详情页，查看「运行时服务账号」字段，确认是否为你配置了权限的xxxxxxx-compute@developer.gserviceaccount.com。部分场景下Function会默认使用项目的App Engine默认服务账号，而非你指定的关联账号，这会导致权限不匹配。

• 验证权限生效与项目归属
  GCP IAM权限变更存在1-5分钟的延迟，建议重新部署Cloud Function或等待一段时间后再测试。同时务必确认服务账号的权限是添加在Firestore所在的GCP项目下，而非其他关联项目。另外，datastore.owner/datastore.editor权限仅对Datastore模式的Firestore生效，Native模式下需确保账号拥有roles/firestore.admin或对应细粒度权限。

• 检查Firestore数据库模式
  若你的Firestore使用Datastore模式，Firebase安全规则完全不生效，访问控制仅依赖GCP IAM权限。此时需确认服务账号是否拥有对应Datastore权限；若为Native模式，需注意：Cloud Function通过IAM访问Firestore时，安全规则默认不生效，你设置的开放规则对该场景无作用。

• 核对Firestore客户端初始化逻辑
  检查_firestoreDb的初始化代码，确认是否依赖GCP默认应用凭据（部署到GCP的Function会自动获取运行时服务账号的凭据）。如果初始化时手动指定了其他服务账号密钥，会导致请求身份与预期不符，触发权限拒绝。

• 验证文档路径的正确性
  在代码中添加日志输出截取后的documentPath值，确认路径格式为collection/document或嵌套的collection/document/subcollection/subdocument。虽然路径错误通常返回NotFound，但特殊字符或跨权限边界的路径可能触发PermissionDenied。

• 启用Cloud Audit Logs定位具体问题
  进入GCP控制台的「Cloud Audit Logs」，启用Firestore的数据访问日志。触发错误后，查看日志中的protoPayload.methodName和protoPayload.status字段，会明确显示请求缺少的具体权限（如firestore.documents.update）及发起请求的账号，精准定位权限缺口。

内容的提问来源于stack exchange，提问作者Zayum