Angular+Firebase上线后Firestore权限拒绝问题求助

针对你遇到的Angular+Firebase项目线上Firestore权限拒绝问题，按以下步骤排查：

• 检查Firestore安全规则

  错误提示明确为permission-denied，优先排查规则变动

  • 登录Firebase控制台，确认Firestore安全规则是否在近期被调整为更严格的限制（比如要求用户认证才能访问，但线上用户未完成认证流程）。
  • 可临时将规则改为测试模式（仅用于排查，测试后务必改回）：

    rules_version = '2';
    service cloud.firestore {
      match /databases/{database}/documents {
        match /{document=**} {
          allow read, write: if true;
        }
      }
    }
    

  • 修改后点击发布，再测试线上站点是否恢复正常。如果正常，说明规则是问题根源，需根据业务需求调整规则条件（比如限制认证用户、特定文档路径等）。

• 验证生产环境的Firebase配置

  • 确认线上部署的Angular项目使用的是生产环境配置：检查environment.prod.ts中的firebase配置项（apiKey、projectId、authDomain等）是否与Firebase生产项目完全一致。
  • 部署时确保使用生产环境构建命令：ng build --configuration production（Angular 12+）或ng build --prod（旧版本），避免用本地开发环境配置打包。
  • 线上浏览器控制台执行firebase.app().options，核对输出的projectId是否为目标生产项目ID。

• 排查Firebase项目IAM权限

  • 检查Firebase项目的IAM角色是否有变动：比如负责部署或访问Firestore的服务账号（如CI/CD部署账号、App Engine默认服务账号）是否被移除了Cloud Datastore User、Firebase Admin SDK Administrator Service Agent等必要权限。
  • 登录Firebase控制台→项目设置→服务账号，确认相关账号的权限配置。

• 清理构建缓存并重新部署

  • 本地清理构建缓存：删除dist目录，执行npm clean --force（或yarn cache clean）后重新构建生产包。
  • 重新部署到线上服务器，避免旧配置或缓存代码导致的异常。

• 网络连通性排查

  • 线上服务器可能存在防火墙或网络策略限制Firestore访问：在服务器上执行curl https://firestore.googleapis.com/v1/projects/{你的项目ID}/databases/(default)/documents，检查是否能正常请求（需替换项目ID）。
  • 确认服务器所在地区未被Firebase服务限制，或是否需要配置代理访问Firebase服务。

内容的提问来源于stack exchange，提问作者Shekhar