无法使用Firebase Storage时，如何限制GCS桶路径的用户访问权限

1. 第一步：取消文件公开权限 #

先移除代码中blob.make_public()的调用，让上传的文件默认保持私有状态，这是限制未授权访问的基础。修改后的upload_file核心片段：

# 移除原有的 blob.make_public() 调用
# 可选：生成带过期时间的签名URL返回给客户端，用于临时访问
expiration = datetime.timedelta(hours=24)
signed_url = blob.generate_signed_url(expiration=expiration)
return signed_url

2. 配置GCS IAM规则实现访问控制 #

GCS支持通过IAM条件结合Firebase Auth的身份信息做授权，无需依赖Firebase Storage规则。

场景一：仅允许已认证的Firebase用户访问所有文件 #

1. 打开Google Cloud Console的Storage桶页面，进入「权限」标签
2. 点击「添加权限」，在「新成员」输入allAuthenticatedUsers
3. 角色选择「Storage Object Viewer」
4. 添加条件：
   • 条件类型选「属性」→「请求」→「认证主体」→「Firebase UID存在」
   • 条件表达式：request.auth.token.firebase.uid != ""
5. 保存配置

场景二：基于组ID的细粒度访问（仅同组用户可访问） #

如果要限制用户只能访问对应组ID下的文件，需先确保Firebase用户的自定义声明中包含所属组ID（比如group_id: "644f1576-9e2f-486e-b33f-e326b6c596e"），再配置IAM条件：

• 条件表达式示例（适配你的文件路径格式）：

  resource.name.startsWith(request.auth.token.group_id + "/")
  

  配置步骤同场景一，将条件替换为上述表达式即可。

3. 客户端访问私有文件的方式 #

文件设为私有后，无法直接通过原URL访问，推荐两种低改动方案：

• 上传时生成签名URL：在upload_file中生成带过期时间的签名URL返回给客户端，客户端可直接用该URL访问，无需额外认证
• 后端代理访问：新增极简Cloud Functions接口，客户端携带Firebase Auth token请求接口，后端验证token后读取GCS文件并返回给客户端

4. 验证配置 #

• 用未认证的浏览器访问文件URL，应返回403 Forbidden
• 用符合条件的已认证Firebase用户，通过签名URL或认证请求访问，应能正常获取文件

内容的提问来源于stack exchange，提问作者Tom3652