Firebase Storage规则中自定义路径引用匹配失败问题求助

核心问题分析 #

你遇到的问题本质是Firestore与Storage规则引擎对路径引用的类型处理逻辑不一致：Firestore规则允许文档引用与路径字符串的隐式兼容对比，但Storage规则对类型匹配的要求更严格——手动生成的路径对象和权限列表中存储的引用对象可能属于不同类型，导致in/hasAny等列表匹配函数无法生效。

另外调试工具与实际请求的行为差异，大概率是因为调试时的上下文（如认证信息、路径参数）与网站实际请求不完全一致，而非规则本身的bug。

可行的解决方法 #

1. 统一用字符串格式做路径对比 #

放弃引用对象的直接对比，将权限列表中的路径和Storage目标路径都转为字符串后再匹配，绕过类型兼容问题：

function userRolesIncludesPermission(permissionPath) {
  // 拉取用户权限并统一转为字符串路径
  const userPermissions = get(/databases/$(database)/documents/users/$(request.auth.uid)).data.roles
    .map(role => get(/databases/$(database)/documents/roles/$(role)).data.permissions)
    .flatten()
    .map(perm => perm.path.toString());

  // 目标路径也转为字符串后对比
  return permissionPath.toString() in userPermissions;
}

2. 严格校验路径的绝对一致性 #

确保getRootCollectionDocRef生成的路径与权限列表中的路径完全匹配：

• 检查是否存在前缀差异（比如Storage路径带gs://而权限列表存储的是相对路径）
• 用规则调试工具的log()函数打印两边的路径字符串，确认大小写、分隔符、层级是否完全一致

3. 改用遍历匹配替代列表函数 #

如果列表函数确实存在隐性限制，可通过遍历逐个对比路径：

function userRolesIncludesPermission(permissionPath) {
  const userRoles = get(/databases/$(database)/documents/users/$(request.auth.uid)).data.roles;
  for (role in userRoles) {
    const permissions = get(/databases/$(database)/documents/roles/$(role)).data.permissions;
    for (perm in permissions) {
      if (perm.path == permissionPath) {
        return true;
      }
    }
  }
  return false;
}

4. 对齐调试与实际请求的上下文 #

• 确认网站请求携带的认证令牌与调试工具中使用的完全一致
• 检查权限列表是否存在缓存未更新的情况，确保规则读取的是最新的用户权限数据

关于Storage规则的限制 #

目前官方文档未明确标注这类列表函数的路径匹配限制，但从实际表现来看，Storage规则引擎对类型的敏感度确实高于Firestore，优先使用字符串对比是最稳妥的规避方案。

内容的提问来源于stack exchange，提问作者Avi L.