如何使用Firebase用户令牌访问Google Cloud Storage REST API？

1. 为什么Firebase Auth令牌无法直接访问GCS REST API？ #

Firebase Auth令牌的受众（audience）是Firebase专属服务，而Google Cloud Storage（GCS）的标准REST API要求的是针对GCS的授权令牌，所以直接使用会返回401错误。而Firebase Storage的专属API（firebasestorage.googleapis.com）是兼容Firebase Auth令牌的，这就是你能成功访问它的原因。

2. 获取Google Cloud访问令牌的两种方法 #

客户端直接交换（以JavaScript为例） #

先获取当前登录用户的Firebase ID令牌，再通过Google的令牌交换端点转换成GCS可用的访问令牌：

// 假设已初始化Firebase Auth，user为当前登录用户实例
user.getIdToken(true) // true表示强制刷新令牌，确保权限最新
  .then(idToken => {
    return fetch('https://oauth2.googleapis.com/token', {
      method: 'POST',
      body: new URLSearchParams({
        grant_type: 'urn:ietf:params:oauth:grant-type:jwt-bearer',
        assertion: idToken,
        scope: 'https://www.googleapis.com/auth/devstorage.read_only' // 按需调整权限，比如read_write
      })
    });
  })
  .then(res => res.json())
  .then(data => {
    const gcsToken = data.access_token;
    // 用这个令牌调用GCS REST API
    fetch('https://storage.googleapis.com/storage/v1/b/<bucket>/o?prefix=<目标目录路径>', {
      headers: { 'Authorization': `Bearer ${gcsToken}` }
    });
  });

后端交换（以Python为例） #

如果逻辑在后端，可以用用户的Firebase ID令牌直接交换：

import requests

def get_gcs_token(firebase_id_token):
    url = "https://oauth2.googleapis.com/token"
    payload = {
        "grant_type": "urn:ietf:params:oauth:grant-type:jwt-bearer",
        "assertion": firebase_id_token,
        "scope": "https://www.googleapis.com/auth/devstorage.read_only"
    }
    response = requests.post(url, data=payload)
    return response.json().get("access_token")

3. 权限配置注意 #

• 确保Firebase用户关联的身份（Google账号或其他登录方式）在GCS的IAM页面有对应权限，比如添加Storage Object Viewer角色用于读取文件列表。
• 严格按照需求选择scope参数，遵循最小权限原则，避免过度授权。

4. 更简便的替代方案：直接用Firebase Storage SDK #

如果不需要调用GCS标准API，直接用Firebase Storage SDK就能实现目录列表，无需令牌交换：

// JavaScript示例
const targetDirRef = firebase.storage().ref().child('<目标目录路径>');
targetDirRef.listAll()
  .then(res => {
    res.items.forEach(itemRef => {
      console.log('文件名称：', itemRef.name);
      // 可进一步获取文件元数据或下载链接
    });
  })
  .catch(err => {
    // 处理错误
  });

内容的提问来源于stack exchange，提问作者Schneider Infosystems Ltd