Firebase Cloud Storage图片访问权限问题求助

问题根源 #

你返回给前端的metadata.selfLink是Google Cloud Storage（GCS）原生对象链接，其权限由GCS的IAM策略管控，不遵循Firebase Storage的安全规则。匿名用户没有该GCS对象的IAM读取权限，因此触发权限错误。

解决方案 #

1. 修正后端返回的链接类型

你的代码已经生成了带权限验证的签名URL，但错误地返回了metadata.selfLink。签名URL在有效期内（你设置到2028年）可被任意用户访问，修改后端代码的返回值即可：

async function uploadProfilePicture(path) {
  console.log("inside profile pciture func path = ", path);
  const bucket = admin.storage().bucket();
  const uploadedFile = await bucket.upload(path);
  const [metadata] = await uploadedFile[0].getMetadata();
  // 等待签名URL生成完成
  const [downloadUrl] = await uploadedFile[0].getSignedUrl({
    action: "read",
    expires: "01-01-2028",
  });
  console.log("download url = ", downloadUrl);
  return downloadUrl; // 返回签名URL而非selfLink
}

2. 配置符合需求的Firebase Storage规则

若后续希望通过Firebase客户端SDK访问图片，需确保规则满足「匿名可读、仅授权用户可写」的要求：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      // 允许所有用户（含匿名）读取
      allow read: if true;
      // 仅允许已登录的授权用户写入
      allow write: if request.auth != null;
    }
  }
}

若采用此方式，后端应存储图片的存储路径（如images/profile/user123.jpg），前端通过Firebase Storage SDK调用getDownloadURL()获取可访问链接，而非直接存储URL。

3. （不推荐）调整GCS IAM权限

若坚持使用metadata.selfLink，可给GCS对象设置公开读取权限，但这会让任何人无限制访问对象，存在安全风险，谨慎操作：

# 给整个存储桶设置公开读取权限
gsutil iam ch allUsers:objectViewer gs://your-bucket-name

最优方案总结 #

最安全且贴合需求的做法是：

• 修改后端代码返回签名URL（已生成但未正确返回）
• 配置Firebase Storage规则为匿名可读、授权用户可写

内容的提问来源于stack exchange，提问作者program.exe