如何配置Firebase Storage规则仅允许项目IAM用户访问？

Firebase Storage的安全规则无法直接对接项目IAM用户列表，因为两者属于不同权限体系——IAM是Google Cloud层面的资源权限，而Firebase安全规则依赖Firebase Auth的用户身份。要实现需求，可通过以下思路处理：

方案一：指定授权用户UID（适合用户量少的场景） #

1. 先把项目IAM中允许访问的用户，手动添加到Firebase Auth用户列表里（在Firebase控制台「Authentication」页面操作）。
2. 替换Storage安全规则，只允许指定UID的用户访问：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if request.auth != null && request.auth.uid in ["用户UID1", "用户UID2", "用户UID3"];
    }
  }
}

方案二：用自定义用户声明批量管理（适合用户量多的场景） #

如果需要批量管理授权用户，推荐用自定义声明标记授权用户：

1. 使用Firebase Admin SDK给目标用户添加自定义声明（比如标记is_project_iam_user: true），示例代码（Node.js）：

const admin = require('firebase-admin');
admin.initializeApp();

// 替换成目标用户的UID
admin.auth().setCustomUserClaims('目标用户UID', { is_project_iam_user: true })
  .then(() => console.log('自定义声明设置成功'))
  .catch(err => console.error('设置失败:', err));

2. 修改Storage安全规则，检查用户的自定义声明：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if request.auth != null && request.auth.token.is_project_iam_user == true;
    }
  }
}

备选方案：直接用Cloud Storage IAM规则 #

如果不想依赖Firebase Auth，也可以直接通过Google Cloud的IAM控制台给项目IAM用户分配Storage的读写权限，但这种方式下，Web应用需要改用Google Cloud Storage的客户端库访问，而非Firebase Storage SDK——因为Firebase SDK默认走Firebase Auth鉴权。

内容的提问来源于stack exchange，提问作者Benjamin Lüscher