Firebase跨服务安全规则失效：无权限提示且指定角色缺失

问题梳理 #

在Firebase Storage规则中使用firestore.get()验证Firestore文档时，遇到两个核心问题：

• 调用firestore.get()时提示权限不足，但规则控制台未触发权限申请提示
• Google Cloud IAM页面找不到官方文档提到的「Firebase Rules Firestore Service Agent」角色，无法手动添加对应权限

当前使用的Storage规则代码：

allow read: if true;
  allow write: if firestore.get(/databases/(default)/documents/projects/$(projectId)).data.owner == request.auth.uid
}```

从提供的IAM页面截图来看，角色列表中确实没有目标预定义角色。

### 可行解决步骤
- **手动配置服务账号权限**
  Firebase Rules对应的服务账号格式为`service-<你的项目编号>@firebase-rules.iam.gserviceaccount.com`，可在GCP IAM页面搜索该账号，直接为其添加`Firestore Viewer`（只读权限）或`Cloud Datastore User`（等效权限，因Firestore基于Datastore）角色，替代缺失的「Firebase Rules Firestore Service Agent」角色，满足跨服务读取Firestore文档的需求。

- **校验规则路径正确性**
  确认Firestore文档路径`/databases/(default)/documents/projects/$(projectId)`完全匹配实际数据结构：`projects`集合真实存在、文档ID与Storage路径中的`projectId`参数一致，避免因路径错误导致的权限验证失败。

- **用规则模拟器验证**
  配置完权限后，在Firebase控制台的规则模拟器中模拟带`request.auth.uid`的写入请求，验证规则是否正常生效，排查是否存在其他权限或逻辑问题。

内容的提问来源于stack exchange，提问作者Suhaib Saleh