如何限制仅特定人员查看Firebase Storage中上传的视频？

针对你遇到的签名URL有效期内任何人可访问的问题，以下是几种可靠的权限验证方案：

1. Firebase Auth 结合 Storage 安全规则 #

签名URL会绕过Storage的安全规则，直接分发签名URL无法限制访问者。改用用户通过Firebase Auth登录后获取下载链接的方式，同时配置安全规则限制仅特定UID用户可访问：

安全规则示例 #

service firebase.storage {
  match /b/{bucket}/o {
    match /videos/{videoId} {
      // 仅允许指定UID的已登录用户读取
      allow read: if request.auth != null && request.auth.uid in ['uid_abc123', 'uid_def456'];
    }
  }
}

前端获取链接方式 #

用户登录后，调用Firebase Storage的getDownloadURL()方法获取视频链接，此时Storage会自动验证用户身份，不符合条件的用户无法拿到有效链接。

2. Cloud Functions 做鉴权中间层 #

通过云函数封装签名URL的生成逻辑，只有通过身份验证的指定用户才能拿到签名URL：

云函数示例（Node.js） #

const functions = require("firebase-functions");
const { initializeApp } = require("firebase-admin/app");
const { getStorage } = require("firebase-admin/storage");

initializeApp();

exports.fetchAuthorizedVideoUrl = functions.https.onCall(async (data, context) => {
  // 验证用户是否已登录
  if (!context.auth) {
    throw new functions.https.HttpsError("unauthenticated", "请先登录");
  }

  // 检查用户是否在允许访问的列表中
  const allowedUserUids = ['uid_abc123', 'uid_def456'];
  if (!allowedUserUids.includes(context.auth.uid)) {
    throw new functions.https.HttpsError("permission-denied", "你没有该视频的访问权限");
  }

  // 生成签名URL（可设置较短有效期降低风险）
  const storageBucket = getStorage().bucket();
  const targetFile = storageBucket.file(`videos/${data.videoFileName}`);
  const [signedUrl] = await targetFile.getSignedUrl({
    action: 'read',
    expires: '1h' // 有效期设为1小时
  });

  return { videoUrl: signedUrl };
});

前端调用逻辑 #

用户登录后调用该云函数，传入视频文件名，通过鉴权后才能拿到签名URL，避免了直接分发URL带来的风险。

3. 代理服务层（适合非Web端或复杂鉴权场景） #

部署一个简单的代理服务（比如Cloud Run），用户访问代理服务时先完成身份验证（比如验证Auth token、自定义权限逻辑），验证通过后代理服务从Storage获取视频并返回给用户。这种方式完全控制访问流程，即使签名URL泄露也无法直接使用。

内容的提问来源于stack exchange，提问作者Ika