Firebase Storage规则在Playground生效但客户端请求返回403错误

环境与配置 #

Firestore集合 #

• brokers集合
• companies集合
• users集合

Firebase Storage规则 #

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
     
    function getDocument(collection, documentId) {
      return firestore.get(/databases/(default)/documents/$(collection)/$(documentId));
    }
    
    function getUser() {
      return getDocument('users', request.auth.uid).__name__;
    }
    
    function userIsMember(collection, documentId) {
      return getUser() in getDocument(collection, documentId).data.get('members', []);
    }
    
    match /companies/{companyId}/contracts/{allPaths=**} {
      allow read: if userIsMember("brokers", getDocument("companies", companyId).data.broker[4]);
    }
  }
}

问题描述 #

用户vJIwuxn4jXN88Hs5uv3fZXcTlyu1执行以下代码获取文件下载URL时，返回403权限错误，但在Firebase规则调试Playground中验证该规则却能通过：

const downloadURL = await getDownloadURL(
  ref(
    storage,
    "companies/company-id/contracts/contract-id/document.pdf"
  )
);

排查方向 #

1. 认证状态不符
   规则依赖request.auth.uid，实际请求时需确认用户已完成有效认证：

   • 检查代码中是否正确初始化Firebase Auth，用户会话是否处于活跃状态
   • 调试Playground中手动填入的UID可能与实际请求的Auth上下文不一致，比如请求时Auth已过期或未正确传递

2. Firestore数据与权限问题
   规则多次读取Firestore文档，需验证：

   • 执行Storage规则的服务账号对brokers、companies、users集合有读取权限，否则无法获取文档会导致规则判定失败
   • 确认companies/company-id文档中broker数组的第5个元素（索引4）是有效的brokers文档ID，且该brokers文档的members数组包含用户UID
   • 调试Playground使用的测试数据可能与实际Firestore中的数据存在差异，需核对真实数据

3. getUser()函数逻辑隐患
   getUser()通过读取users文档返回ID，等价于直接返回request.auth.uid，但如果该users文档不存在，getDocument会抛出错误导致规则失败。需确认用户对应的users文档是否存在，调试Playground可能默认文档存在。

4. 下载URL缓存
   若之前生成过该文件的下载URL且当时权限不允许，SDK或浏览器可能缓存了错误结果。尝试生成新的下载URL，或清除缓存后重试。

5. 规则部署延迟
   确认最新规则已部署完成，规则修改后可能需要几分钟才能生效，调试Playground使用最新规则，但实际存储服务可能仍在使用旧规则。

内容的提问来源于stack exchange，提问作者nsayer