如何通过Google Cloud IAM限制Firebase服务账号仅访问单个实时数据库？

思路没问题，错在资源名称格式 #

你的核心思路是对的——用GCP IAM给不同服务账号分配单数据库专属权限，这是多数据库权限隔离的标准做法。问题出在IAM条件里的资源名称格式不对，导致权限规则不生效。

正确的资源名称格式 #

Firebase Realtime Database在IAM中的资源名称不是//mydbname.firebaseio.com，正确格式是：

projects/<你的GCP项目ID>/databases/<数据库ID>

• <你的GCP项目ID>：去GCP控制台或Firebase项目设置里找
• <数据库ID>：就是你数据库URL的前缀，比如数据库地址是https://mydbname.firebaseio.com，ID就是mydbname；默认数据库的ID固定是default

把你之前的条件Name = //mydbname.firebaseio.com替换成：

Name = "projects/你的项目ID/databases/mydbname"

配置步骤参考：

• 打开GCP IAM控制台，找到目标服务账号
• 添加Firebase Realtime Database Admin权限（对应角色roles/firebase.databaseAdmin）
• 点击权限条目的「编辑条件」，新建条件：选「资源」类型，资源属性选「名称」，运算符「等于」，值填上面的正确资源名称

Java SDK连接要注意这两点 #

配置完IAM后，Java端要确保两点：

1. 使用对应服务账号的密钥文件
2. 初始化时指定目标数据库的URL，最好给每个数据库单独初始化FirebaseApp实例：

// 加载对应服务账号的密钥
FileInputStream serviceAccount = new FileInputStream("path/to/your-db-service-account.json");

FirebaseOptions options = FirebaseOptions.builder()
        .setCredentials(GoogleCredentials.fromStream(serviceAccount))
        .setDatabaseUrl("https://mydbname.firebaseio.com") // 必须指定对应数据库的URL
        .build();

// 用唯一名称初始化App，避免和其他数据库实例冲突
FirebaseApp dbApp = FirebaseApp.initializeApp(options, "mydb-app");
DatabaseReference dbRef = FirebaseDatabase.getInstance(dbApp).getReference();

更省心的实现建议 #

• 给每个数据库单独创建FirebaseApp实例，分别绑定对应的服务账号密钥，从代码层面就把权限隔离好
• 遵循最小权限原则：如果不需要完整的Admin权限，比如只需要读写，就分配Firebase Realtime Database Editor角色，进一步降低风险

内容的提问来源于stack exchange，提问作者Dan