Firebase Cloud Functions存储文件权限设置问题求助

核心问题解析 #

1. 控制台预览链接能打开的原因：控制台里的文件预览链接是Firebase生成的临时签名URL，使用控制台的内部权限访问，不受你设置的Storage安全规则限制，这是正常行为，不影响外部用户的访问控制。
2. Admin SDK上传文件可公开访问的原因：默认情况下，用Admin SDK的save()方法上传文件时，GCS（Google Cloud Storage）底层的ACL（访问控制列表）可能被设置为公开读，这会绕过Firebase的安全规则，导致任何人都能直接访问文件的GCS公开URL。

解决步骤 #

1. 上传时强制设置私有ACL

在使用save()方法上传文件时，通过配置predefinedAcl: 'private'，确保文件在GCS层面默认私有，所有访问必须经过Firebase安全规则校验。示例代码：

const { getStorage } = require("firebase-admin/storage");

// 假设你已经获取到文件缓冲区fileBuffer和文件路径filePath
const file = getStorage().bucket().file(filePath);
await file.save(fileBuffer, {
  metadata: {
    contentType: "image/png", // 替换为你的文件MIME类型
  },
  predefinedAcl: "private" // 关键配置：设置文件私有，禁止GCS层面的公开访问
});

2. 配置正确的Firebase Storage安全规则

根据你的需求（仅允许认证用户访问），修改Storage规则：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read: if request.auth != null; // 仅认证用户可读取
      allow write: if request.auth != null; // 可根据需求调整写权限，比如限制为Admin
    }
  }
}

规则生效后，普通用户必须通过Firebase认证，再调用SDK（如Web端的getDownloadURL()）获取签名URL才能访问文件，直接访问GCS公开URL会被拒绝。

3. 验证权限效果

• 外部用户未认证时，尝试直接访问文件的GCS公开URL会返回403错误；
• 认证用户通过Firebase SDK获取的签名URL可以正常访问文件；
• 控制台的预览链接仍能打开，但这是控制台的特权访问，不影响外部权限控制。

补充说明 #

• 即使无法使用upload()方法，save()方法完全支持设置predefinedAcl参数，无需担心路径问题；
• 事后撤销公共URL是治标不治本的方法，上传时直接设置私有ACL才能从根源避免公开访问。

内容的提问来源于stack exchange，提问作者Davis