Firebase Storage配置允许匿名读取仍报AccessDenied错误求助

你配置的Firebase Storage规则看起来是允许匿名读取的：

rules_version = '2';
service firebase.storage {
  match /b/example-bda7b.appspot.com/o {
    match /{allPaths=**} {
      allow read;
      allow write: if request.auth != null;
    }
  }
}

但访问http://storage.googleapis.com/example-bda7b.appspot.com/images/someone-Lopez.jpg时依然收到权限拒绝错误，结合错误信息和Firebase Storage的权限机制，主要有以下几个可能的原因及解决办法：

1. 修改后的规则未发布到生产环境 #

这是最容易忽略的问题！很多人在Firebase控制台修改完规则后，只点击了"保存"按钮就以为完成了，但实际上需要点击页面右上角的**"发布"**按钮，修改后的规则才会生效到生产环境——未发布的规则仅在控制台的模拟器中有效，线上还是使用旧的权限配置。

解决步骤：

• 打开Firebase控制台的Storage规则页面
• 确认你编写的规则已经正确显示在编辑器中
• 点击"发布"按钮，等待1-2分钟让规则全局生效

2. Google Cloud IAM 权限优先级高于 Firebase Security Rules #

Firebase Storage底层依赖Google Cloud Storage（GCS），如果你在Google Cloud控制台给存储桶设置了更严格的IAM权限，这些权限会优先于Firebase的安全规则生效。比如如果IAM中禁止了匿名用户的storage.objects.get权限，哪怕Firebase规则允许读取，也会被拒绝。

解决步骤：

• 打开Google Cloud控制台，找到你的目标存储桶example-bda7b.appspot.com
• 进入存储桶的"权限"标签页
• 检查是否存在allUsers的权限配置：如果需要允许匿名读取，添加allUsers并赋予Storage Object Viewer角色（注意：此设置会让桶内所有文件公开可访问，请根据业务需求谨慎操作）

3. 缓存导致旧权限判断结果未更新 #

浏览器、CDN节点或者Firebase的边缘缓存可能保留了旧的权限验证结果，导致新规则生效后依然返回错误。

解决办法：

• 使用浏览器的隐私/无痕窗口重新访问测试，避免浏览器缓存影响
• 强制刷新页面（Windows按Ctrl+F5，Mac按Cmd+Shift+R）
• 如果是通过自定义CDN访问存储资源，可能需要手动清除CDN缓存或等待缓存过期

快速验证技巧 #

你可以用Firebase控制台的规则模拟器快速排查问题：

1. 在Storage规则页面打开"规则模拟器"
2. 选择"读取"操作，输入文件路径/images/Aaliyah-Lopez.jpg
3. 选择"匿名"用户身份，点击"运行测试"
   如果模拟器返回"允许访问"，说明规则本身没有问题，问题大概率出在规则未发布、IAM权限或缓存上。

内容的提问来源于stack exchange，提问作者FabricioG