Firestore匿名认证模式下使用API Key发起POST请求报错排查

核心错误点 #

• 认证方式完全误用
  你把项目API Key放在Authorization: Bearer字段后是错误的。Bearer字段需要的是Firebase Auth生成的身份验证ID Token，而非项目API Key。项目API Key仅用于标识请求来源，无法作为身份凭证通过Firebase的认证校验，直接传递会被判定为无效凭证。

• 匿名认证流程缺失
  虽然开启了匿名认证，但你没有完成匿名登录的关键步骤。要通过匿名身份访问Firestore，必须先调用Firebase Auth的匿名登录接口，获取对应用户的ID Token和UID，再将这个ID Token作为Bearer的值传入请求头。

• 安全规则逻辑错误
  你的规则中request.auth.uid == 'API_KEY'完全不符合逻辑：

  • 匿名用户的UID是Firebase Auth自动生成的随机字符串，不可能等于你的项目API Key；
  • 用错误的API Key作为Bearer Token时，请求中的request.auth会是null，根本触发不了这个判断条件，直接被规则拒绝。

正确操作步骤 #

1. 获取匿名用户的ID Token
   通过Firebase Auth SDK完成匿名登录，拿到ID Token。以Web端为例：

   firebase.auth().signInAnonymously()
     .then((userCredential) => {
       const user = userCredential.user;
       return user.getIdToken(); // 提取身份验证用的ID Token
     })
     .then((idToken) => {
       // 后续用这个idToken发起Firestore请求
     });
   

2. 修正请求参数

   • 将请求头的Authorization字段改为：

     Authorization: Bearer [你获取到的匿名用户ID Token]
     

   • 项目API Key可以添加到请求URL的查询参数中：

     POST /v1/projects/myproject123-62cd3/databases/(default)/documents/sammlung2/test321?key=apikey3123idsn3ejhsd3 HTTP/1.1
     

3. 调整Firestore安全规则
   如果要允许所有匿名用户访问，规则改为：

   rules_version = '2';
   service cloud.firestore {
     match /databases/{database}/documents {
       match /{document=**} {
         allow write, read: if request.auth != null; // 所有已认证用户（含匿名）均可访问
       }
     }
   }
   

   如果要限制特定匿名用户，先获取该用户的UID（登录后从user.uid获取），再修改规则：

   allow write, read: if request.auth.uid == '目标匿名用户的实际UID';
   

内容的提问来源于stack exchange，提问作者flying_kaktus