Firebase Trigger Email扩展权限错误排查求助

以下是除Firestore规则外，可能导致该错误的常见原因及解决方式：

• 扩展专用服务账号权限不足
  Firebase Trigger Email扩展依赖专门的服务账号（格式通常为ext-firestore-send-email@[你的项目ID].iam.gserviceaccount.com）执行队列处理和邮件发送操作。需要检查该账号是否拥有Firebase Admin SDK Administrator Service Agent角色，或者至少具备以下核心权限：

  • datastore.entities.get（读取队列文档）
  • datastore.entities.update（更新队列处理状态）
  • mail.send（触发邮件发送）
    直接在IAM控制台给该账号添加Firebase Admin SDK Administrator Service Agent角色，可覆盖所有必要权限。

• SMTP配置存在问题
  如果使用自定义SMTP服务器而非Firebase自带的Email Delivery服务，需确认SMTP的用户名、密码、端口、服务器地址完全正确。此外，部分邮件服务商（如Gmail）要求启用应用专用密码，或允许非安全应用访问；企业级邮件服务可能需要白名单Firebase扩展的IP地址。

• 队列文档结构不符合规范
  虽然数据能写入Firestore，但如果队列文档缺少必填字段或格式错误，扩展处理时可能抛出权限类异常（本质是无法正确读取/处理文档内容）。确保文档包含to、message等必填项，且message对象内有subject、html或text字段，格式严格匹配扩展要求。

• Cloud Functions运行时账号权限受限
  扩展的processQueue函数属于Cloud Functions，其默认运行服务账号为[你的项目ID]@appspot.gserviceaccount.com。如果之前修改过该账号的权限，可能导致它无法访问Firestore或调用邮件发送服务。检查该账号是否保留了Editor或足够的相关权限。

• 必要API未启用
  确认项目已启用Cloud Firestore API、Cloud Functions API；若使用Firebase Email Delivery对应服务商（如Gmail、SendGrid），需同步启用对应服务商的API（如Gmail API）。API未启用会导致服务调用时返回权限拒绝类错误。

• 配额超限导致的错误伪装
  部分情况下，当触发Firebase资源配额（如Cloud Functions调用次数、邮件发送量）或邮件服务商配额时，错误提示可能显示为PERMISSION_DENIED而非明确的配额超限。查看Cloud Functions的日志详情，或在Firebase控制台配额页面检查是否有资源耗尽情况。

内容的提问来源于stack exchange，提问作者Banana