Firebase-admin Node.js调用getDownloadURL访问外部存储桶权限错误

核心问题根源 #

getDownloadURL是Firebase Storage专属方法，它要求目标存储桶必须关联到当前Firebase项目。直接通过@google-cloud/storage创建的跨项目Bucket对象，无法被Firebase Admin的Storage系统识别，这就是权限拒绝错误的核心原因。

解决方案步骤 #

1. 将外部GCP存储桶关联到当前Firebase项目 #

这是前提条件，未关联的桶无法被getDownloadURL识别：

• 打开当前项目的Firebase控制台，进入Storage模块
• 点击页面顶部的「添加存储桶」按钮
• 选择「使用现有Cloud Storage存储桶」，在列表中找到目标跨项目存储桶，完成关联操作

2. 配置最小权限 #

无需授予过度权限，只需确保以下权限配置：

• 给当前Firebase项目的默认服务账户（格式为[你的项目ID]@appspot.gserviceaccount.com）授予目标存储桶的roles/storage.objectViewer权限
• 配置目标桶的Firebase存储规则（关联后规则会同步到Firebase控制台），允许读取操作，示例规则：

  rules_version = '2';
  service firebase.storage {
    match /b/{bucket}/o {
      match /{allPaths=**} {
        allow read: if true; // 可根据业务需求限制访问范围
      }
    }
  }
  

注意：之前给firebase-storage@system.gserviceaccount.com授权无效，因为该账户是Firebase系统内部账户，跨项目场景下需要当前项目的服务账户拥有权限

3. 修改代码，使用Firebase Admin获取关联桶 #

不要直接用@google-cloud/storage创建Bucket，必须通过Firebase Admin的Storage实例获取关联后的桶：

import { getStorage } from 'firebase-admin/storage';
import { getDownloadURL } from 'firebase-admin/storage';

async function getURL(): Promise<string> {
  // 通过Firebase Admin获取已关联的外部存储桶
  const storage = getStorage();
  const bucket = storage.bucket("external-asset-bucket");
  // 注意：文件路径不要带开头的斜杠，否则会匹配空目录前缀
  const file = bucket.file("any-file");
  const url = await getDownloadURL(file);
  return url;
}

关键说明 #

• getDownloadURL生成的是基于令牌的永久访问链接，只要存储规则允许访问、对象未被删除，链接就会持续有效，符合长期访问需求
• 若未关联桶，即使拥有GCP权限也无法使用getDownloadURL，因为该方法依赖Firebase Storage的元数据和权限体系
• V4签名URL的7天限制、V2签名URL的不推荐特性，都使得getDownloadURL成为跨项目长期访问的最优选择

内容的提问来源于stack exchange，提问作者Brian M. Hunt