Firebase App Distribution下载APK报403无权限问题咨询

按以下优先级逐一排查即可定位问题，绝大多数同类问题都是配置疏漏导致的：

• 优先核对双层权限配置
  这是最高发的问题原因：App Distribution的下载权限并非只认项目IAM角色，而是两层独立校验，第一层是项目级IAM权限，第二层是单版本的测试人员白名单，缺任意一层都会直接返回403。
  1. 你给自己账号加Firebase App Distribution Admin角色只满足了第一层权限要求，需要进入Firebase控制台的App Distribution页面，找到报错对应的APK版本，查看该版本绑定的测试人员列表，确认你自己的账号、所有测试人员的账号都在该版本的授权名单内。
  2. 注意权限同步延迟：刚修改的IAM角色配置最长需要15分钟完成全球节点同步，改完不要立刻测试，等同步完成后清除浏览器缓存再重试。
  3. 补一个容易漏的规则：如果是先发布APK、之后才给对应测试组新增成员，旧版本不会自动给新成员授权，需要重新给新增成员发送对应版本的邀请，否则对方访问旧链接会直接报权限错误。
• 排查访问身份与链接有效性问题
  1. App Distribution的原始APK下载链接和访问者的Google账号强绑定，直接复制地址栏里的apk原始链接转发给其他人，对方打开必然报403，必须通过控制台生成的官方邀请链接发送给测试人员。
  2. 测试人员访问链接时，如果浏览器同时登录了多个Google账号、或者开了无痕模式未登录授权账号，会触发身份校验失败，建议用单独的浏览器窗口只登录被授权的Google账号再访问链接测试。
  3. 检查报错对应的APK版本是否被手动删除、归档，或者已经超过150天的默认保留期限被系统自动清理，版本被移除后所有下载链接会直接失效返回403。
• 核对后端Cloud Storage权限
  App Distribution的APK文件实际存储在项目关联的Cloud Storage存储桶中，如果之前手动修改过存储桶权限，很容易导致全局下载拦截：
  1. 打开Google Cloud控制台进入Cloud Storage页面，找到名称以app-binary-downloads开头的关联存储桶。
  2. 检查存储桶IAM配置，确认firebase-app-distribution@system.gserviceaccount.com这个系统服务账号拥有Storage Object Viewer及以上权限，不要随意修改该存储桶的默认访问策略。
• 排查组织级策略拦截
  如果你的Firebase项目归属Google Workspace组织管理，需要检查组织层面的策略限制：
  1. 如果测试人员使用的是组织外的个人Google账号，确认组织策略没有限制外部账号访问Cloud Storage资源。
  2. 可以用Google Cloud自带的政策故障排查器，选择报错对应的时间、访问账号、存储服务，直接定位是哪条自定义策略拦截了下载请求。

避坑提醒：不要默认项目级权限可以覆盖所有下载场景，单版本的测试人员白名单是独立于IAM体系的单独校验逻辑，80%以上的同类403问题都是漏了这层配置导致的。

内容的提问来源于stack exchange，提问作者Jessica Kimble