基于容器的VM用特权服务账号访问RTDB时凭证无效报错

安全阿岳

2026-7-11

问题解决方法

核心原因

Firestore 客户端可直接适配 Google ADC（应用默认凭证）的默认机制，但 Firebase Realtime Database（RTDB）的 Admin SDK 客户端在依赖隐式 ADC 时，不会自动请求 RTDB 所需的 OAuth2 权限范围，导致凭证校验失败。显式指定凭证并配置正确范围，就能让服务账号正常访问 RTDB。

解决方案1：显式指定 ADC 凭证

修改初始化代码，显式使用 admin.credential.applicationDefault()，触发 SDK 正确从元数据服务器获取服务账号凭证：

const admin = require('firebase-admin');

const app = admin.initializeApp({
  projectId: '<MY-PROJECT>',
  databaseURL: 'https://<MY-PROJECT>-default-rtdb.firebaseio.com',
  credential: admin.credential.applicationDefault() // 显式指定使用ADC
});

await app.database().ref('test').set('abc');

解决方案2：手动指定 RTDB 权限范围

如果方案1仍未解决，可通过 google-auth-library 手动指定 RTDB 所需的 OAuth2 scope，确保凭证包含访问权限：

const admin = require('firebase-admin');
const { GoogleAuth } = require('google-auth-library');

async function initFirebaseApp() {
  // 创建GoogleAuth实例，指定RTDB的权限范围
  const auth = new GoogleAuth({
    scopes: ['https://www.googleapis.com/auth/firebase.database']
  });
  // 将GoogleAuth实例转换为Admin SDK可使用的凭证
  const credential = admin.credential.fromGoogleAuth(auth);

  return admin.initializeApp({
    projectId: '<MY-PROJECT>',
    databaseURL: 'https://<MY-PROJECT>-default-rtdb.firebaseio.com',
    credential: credential
  });
}

// 初始化并写入RTDB
const app = await initFirebaseApp();
await app.database().ref('test').set('abc');