Firebase实时数据库PUT请求401未授权问题排查与解决

核心原因分析 #

出现401错误的常见原因有以下几点：

• REST请求未携带认证令牌：直接通过fetch调用Firebase REST API时，请求本身是无状态的，即使前端已通过密码认证登录，Firebase无法自动识别请求的认证状态，必须显式传递用户的ID令牌。
• 安全规则路径匹配错误：如果你的安全规则仅针对根节点设置了auth !== null，但未对/users/{userId}/cart这类具体路径配置规则，或者规则结构有误，会导致权限校验失败。
• 路径中userId与当前用户uid不匹配：若安全规则要求用户只能操作自己的节点（比如auth.uid === $userId），但请求路径中的userId不是当前登录用户的uid，也会触发未授权错误。

解决方法 #

1. 在fetch请求中携带ID令牌 #

获取当前用户的ID令牌，并添加到请求头的Authorization字段中，代码示例：

import { getAuth, getIdToken } from "firebase/auth";

const auth = getAuth();
const currentUser = auth.currentUser;

if (currentUser) {
  // 获取用户ID令牌
  const idToken = await getIdToken(currentUser);
  const sendItem = await fetch(`https:/databaseUrl/users/${currentUser.uid}/cart.json`, {
    method: "PUT",
    headers: {
      "Authorization": `Bearer ${idToken}`,
      "Content-Type": "application/json"
    },
    body: JSON.stringify(cartItems)
  });
}

注意：getIdToken是异步操作，需要确保在获取到令牌后再发起请求；同时要设置Content-Type为application/json，避免数据解析错误。

2. 修正安全规则 #

根据你的需求调整规则，推荐使用更严格的规则确保用户只能操作自己的购物车数据：

{
  "rules": {
    "users": {
      "$userId": {
        "cart": {
          ".write": "auth !== null && auth.uid === $userId"
        }
      }
    }
  }
}

如果仅需允许任意已认证用户写入所有节点（不推荐，存在安全风险），可设置全局规则：

{
  "rules": {
    ".write": "auth !== null"
  }
}

规则修改后需发布生效，Firebase规则可能存在几秒的生效延迟。

3. 验证userId的正确性 #

在请求前对比currentUser.uid与你使用的userId变量值，确保两者一致，避免因变量错误导致请求路径指向不属于当前用户的节点。

内容的提问来源于stack exchange，提问作者Johnny Capreano