如何在Firebase中启用跨服务通信？存储规则调用Firestore失败

问题描述 #

• 我的Firebase Storage规则通过以下逻辑校验访问权限：

  request.auth.token.email in firestore.get(/databases/(default)/documents/Groups/$(groupId)).data.owners
  

• 开发环境正常运行，但测试环境中firestore.get(/databases/(default)/documents/Groups/$(groupId))调用返回null，触发「access denied」提示。
• 按官方说明，首次保存含firestore.get的规则时会弹出跨服务授权弹窗，但未出现该弹窗，也找不到手动配置入口。

手动配置跨服务权限步骤 #

1. 登录Google Cloud控制台，定位到你的Firebase项目。
2. 找到Cloud Storage对应的服务账号，格式为firebase-storage@[你的项目ID].iam.gserviceaccount.com。
3. 进入Firestore的IAM权限管理页面，为上述服务账号添加Cloud Firestore Viewer角色（若需要更精细控制，可自定义权限仅允许读取Groups集合）。
4. 保存权限设置后，重新测试Storage规则。

额外排查点 #

• 确认测试环境中groupId参数是否正确对应Firestore中存在的Groups文档。
• 检查测试环境用户的request.auth.token是否包含有效的email字段。
• 验证Firestore目标Groups文档的owners字段是否存在，且目标用户邮箱在列表内。

内容的提问来源于stack exchange，提问作者Slim Sim