Firebase云函数存图成功却遇「创建访问令牌错误」问题求助

核心问题分析 #

1. Stream处理错误：response.data.pipe(writeStream) 并非Promise，直接使用await无效，会导致云函数可能在文件上传完成前就终止，进而引发文件元数据/ACL设置不完整，出现访问令牌创建失败。
2. ACL参数配置问题：仅设置public: true可能不生效，需要显式使用predefinedAcl: 'publicRead'确保文件被标记为公开可读，或者上传后单独设置文件权限。
3. 存储桶规则与文件ACL优先级：存储桶的读写规则控制请求权限，但文件自身的ACL会覆盖桶级规则，如果文件未设置公开可读，即使桶规则开放也无法直接访问。

修正后的代码 #

const functions = require("firebase-functions");
const admin = require("firebase-admin");
const axios = require("axios");
admin.initializeApp();

exports.saveImageToStorage = functions.https.onRequest(async (req, res) => {
    try {
        const { imageUrl, destination } = req.body;
        const response = await axios({
            method: 'GET',
            url: imageUrl,
            responseType: 'stream'
        });

        const file = admin.storage().bucket().file(destination);
        const writeStream = file.createWriteStream({
            contentType: 'image/jpeg',
            predefinedAcl: 'publicRead' // 显式设置公开可读ACL
        });

        // 将Stream操作封装为Promise，确保等待上传完成
        await new Promise((resolve, reject) => {
            response.data.pipe(writeStream)
                .on('finish', resolve)
                .on('error', reject);
        });

        // 获取公开下载URL
        const publicUrl = `https://storage.googleapis.com/${admin.storage().bucket().name}/${destination}`;
        // 非公开场景可使用签名URL：
        // const [signedUrl] = await file.getSignedUrl({
        //     action: 'read',
        //     expires: '03-09-2025'
        // });

        console.log('Successfully uploaded image');
        res.status(200).json({
            message: 'Image uploaded successfully',
            downloadUrl: publicUrl
        });
    } catch (error) {
        console.error('Error processing image:', error);
        res.status(500).json({ error: 'Failed to process image' });
    }
});

关键修正点 #

• Stream Promise封装：用new Promise包裹pipe的finish/error事件，确保云函数等待上传完成后再返回，避免提前终止。
• 正确设置ACL：使用predefinedAcl: 'publicRead'替代public: true，这是Google Cloud Storage SDK的标准参数，确保文件被设置为公开可读。
• 错误处理优化：统一使用try/catch捕获所有异常，便于排查问题。
• 获取下载URL：公开文件可直接通过https://storage.googleapis.com/[桶名]/[文件路径]构造URL；非公开文件使用getSignedUrl生成临时访问令牌。

额外检查项 #

• 确认云函数的服务账号（通常为[项目ID]@appspot.gserviceaccount.com）拥有Storage Object Admin或Storage Admin角色，确保具备设置文件ACL的权限。
• 检查存储桶的CORS配置，若需从前端访问，确保允许对应的域名。

内容的提问来源于stack exchange，提问作者Spectre