设置Firebase Storage安全规则后，匿名仍可访问文件下载URL？

核心原因分析 #

• 生成的是公开下载URL：你用getDownloadURL()生成的URL是长期公开的，会直接绕过存储规则，任何人拿到就能访问，和你设置的认证要求无关。
• 规则未发布生效：修改规则后如果没在控制台点击「发布」，系统还是沿用旧规则，导致认证限制没生效。
• 缓存/CDN残留：如果之前图片曾允许公开访问，浏览器或CDN可能缓存了可访问的版本，即使规则更新后仍能打开。

解决方法 #

1. 改用签名URL（Signed URL） #

签名URL带有效期和权限验证，只有符合规则的请求才能访问，过期自动失效。后端示例代码（Node.js）：

const { Storage } = require('@google-cloud/storage');
const storage = new Storage();
const bucket = storage.bucket('你的存储桶名称');
const file = bucket.file('图片的存储路径');

// 生成1小时有效期的读取签名URL
const [signedUrl] = await file.getSignedUrl({
  action: 'read',
  expires: Date.now() + 3600 * 1000,
});

前端使用这个签名URL展示图片，过期后需重新请求新的URL。

2. 确认规则已发布生效 #

• 打开Firebase控制台 → 存储 → 规则页面，确认当前规则是：

  service firebase.storage {
    match /b/{bucket}/o {
      match /{allPaths=**} {
        allow read, write: if request.auth != null;
      }
    }
  }
  

• 点击页面右上角的「发布」按钮，确保规则生效。
• 使用「规则模拟器」测试：选择「读取」操作，用户身份设为「匿名」，输入文件路径，验证是否返回「访问被拒绝」。

3. 清除缓存验证 #

在匿名浏览器中打开开发者工具（F12），勾选「禁用缓存」，重新加载图片URL，确认是否无法访问。

内容的提问来源于stack exchange，提问作者Leo Tran