Service Account命令行可用，Firebase Functions中上传文件权限报错

核心问题 #

Angular客户端通过Express-based Firebase Functions上传文件至新生产环境Firebase项目时，报错firebase-adminsdk-8s67w@xxxxxx.iam.gserviceaccount.com 没有Google Cloud Storage对象的storage.objects.create权限，但本地用gcloud cli切换至该服务账号上传正常，且dev环境配置一致可正常运行。

针对性排查步骤 #

1. 验证Functions运行时使用的服务账号 #

尽管已确认Firebase应用通过目标服务账号初始化，但需确保Functions实际运行时身份与配置一致。默认Firebase Functions使用项目自带的firebase-adminsdk账号，但部署或代码配置错误可能导致身份不符。可在Functions代码中添加日志验证：

// 输出当前服务账号凭证路径
console.log('Runtime service account credential path:', process.env.GOOGLE_APPLICATION_CREDENTIALS);

// 用Admin SDK验证账号有效性
const admin = require('firebase-admin');
admin.auth().getUserByEmail('firebase-adminsdk-8s67w@xxxxxx.iam.gserviceaccount.com')
  .then(user => console.log('Target service account verified:', user.uid))
  .catch(err => console.error('Target service account not found:', err));

部署后查看Functions日志，确认运行身份为目标服务账号。

2. 检查存储桶IAM权限的条件绑定 #

新创建的GCS存储桶可能自动添加带条件限制的权限（如IP范围、资源创建时间等），而旧dev项目无此配置。前往GCS控制台存储桶的「权限」页，逐一查看权限绑定的「条件」规则，确保没有限制目标服务账号的storage.objects.create操作。

3. 排查Functions网络配置 #

若生产环境Functions启用了VPC访问控制或私有网络，可能导致无法访问GCS存储桶（dev环境可能未配置）。前往Firebase控制台Functions设置页，检查是否启用VPC，同时确认VPC规则允许Functions访问目标存储桶。

4. 确认存储桶名称与上传路径正确性 #

再次核对Functions代码中指定的存储桶名称（需完全匹配，如<prod-project-id>.appspot.com），以及文件上传路径的拼写（GCS路径区分大小写）。生产环境存储桶名称可能与dev存在细微差异，需彻底排查。

5. 强制刷新IAM权限缓存 #

GCP IAM权限存在缓存延迟，即使已重新添加权限，也可能未即时生效。可尝试以下操作强制刷新：

• 暂时移除目标服务账号的存储权限，等待5分钟后重新添加
• 通过部署一次空代码修改（如添加注释）触发Functions实例重启
• 在GCS控制台「权限」页使用「检查权限」工具，输入服务账号邮箱，验证storage.objects.create权限是否实际生效

6. 检查存储桶版本控制与对象保留策略 #

新存储桶可能默认启用版本控制或对象保留策略，这会增加对象创建的权限要求。前往GCS控制台存储桶「设置」页，查看版本控制和对象保留状态；若启用，需确保服务账号拥有对应额外权限（如覆盖对象需storage.objects.delete权限）。

内容的提问来源于stack exchange，提问作者Kildareflare