如何用Firebase Storage规则让指定目录内容支持Cloud CDN访问？

一、核心误区说明 #

Firebase Storage的安全规则仅对通过Firebase SDK、Firebase控制台或Firebase Hosting发起的请求生效，直接通过Cloud CDN/GCS原始URL访问时，这些规则不会被应用——这就是你设置了宽泛规则但仍访问被拒的原因。

二、让指定目录内容支持Cloud CDN访问 #

方案1：设置目录内对象为公开可读（适合静态资源场景） #

通过gsutil命令批量配置user-videos/目录的权限：

1. 给目录设置默认ACL，后续上传的文件自动公开：

   gsutil defacl set public-read gs://lookieloo-app.appspot.com/user-videos/
   

2. 给已存在的文件批量更新ACL：

   gsutil acl set -R public-read gs://lookieloo-app.appspot.com/user-videos/
   

方案2：仅允许Cloud CDN服务账号访问（更安全，无需公开文件） #

给负载均衡关联的服务账号授予存储对象查看权限，作用域限定在目标目录：

1. 在GCP控制台项目设置中找到你的项目编号（PROJECT_NUMBER）
2. 执行IAM绑定命令：

   gsutil iam ch serviceAccount:service-PROJECT_NUMBER@cloud-lb-sa.iam.gserviceaccount.com:roles/storage.objectViewer gs://lookieloo-app.appspot.com/user-videos/
   

三、修改Cache-Control头以支持CDN缓存 #

默认Firebase Storage返回的Cache-Control: private会阻止CDN缓存，需要修改为可缓存的配置：

方法1：上传文件时指定元数据 #

使用Firebase CLI上传时直接设置：

firebase storage:upload /本地文件路径/test1.png --destination user-videos/test1.png --metadata '{"cacheControl": "public, max-age=31536000"}'

方法2：批量更新已存在文件的缓存头 #

用gsutil批量修改user-videos/下所有文件：

gsutil setmeta -h "Cache-Control: public, max-age=31536000" -R gs://lookieloo-app.appspot.com/user-videos/

方法3：设置存储桶默认缓存规则（针对新上传文件） #

配置存储桶默认元数据，让后续上传的文件自动带缓存头：

gsutil setmeta -h "Cache-Control: public, max-age=31536000" gs://lookieloo-app.appspot.com

注：此设置仅对新上传文件生效，已有文件需用方法2批量更新。

内容的提问来源于stack exchange，提问作者Paymahn Moghadasian