Firebase单项目多实时数据库自定义Token跨库访问权限报错

核心结论 #

• 同个Firebase项目下，仅需生成1份自定义Token，即可授权访问项目下所有实时数据库实例，完全不需要为每个数据库单独初始化Admin SDK、生成独立Token。
• 你遇到的permissions denied错误和Token本身无关，核心原因是客户端第二个应用实例未携带认证状态。
• 多数据库访问不需要为每个库单独做登录操作，同项目下所有数据库实例可复用同一份用户登录态。

问题根因 #

你的客户端代码中，仅对默认初始化的app实例执行了signInWithCustomToken登录操作。单独初始化的命名实例app2是独立的Firebase应用上下文，默认处于未认证状态，访问第二个数据库时请求未携带合法用户身份信息，无法匹配安全规则中auth.token.chatEnabled === true的校验条件，因此触发权限拒绝。

补充说明：后端Admin SDK初始化时，无论是否配置databaseURL参数，只要使用同项目的服务账号凭证生成的自定义Token，都是项目全局有效的，不存在Token和单个数据库绑定的机制。哪怕项目下有10个甚至更多实时数据库，单份Token即可完成全量授权。

修正方案 #

你可以选择两种简化实现方式，都不需要重复生成Token、重复执行登录：

方式1：无需创建多App实例（最简便） #

新版Firebase JS SDK支持直接在同一个默认App实例下，通过传入不同数据库URL初始化多个数据库引用，代码示例：

import { initializeApp } from "firebase/app";
import { getAuth, signInWithCustomToken } from "firebase/auth";
import { getDatabase, ref, set } from 'firebase/database';

const firebaseConfig = {
  // 填入你的项目配置
};

// 初始化默认App并完成登录
const app = initializeApp(firebaseConfig);
const auth = getAuth(app);
await signInWithCustomToken(auth, token);

// 直接在默认App下初始化第二个数据库，不需要新建App实例
const db2 = getDatabase(app, '第二个实时数据库的URL');
await set(ref(db2, 'users'), {
  user: 'me'
});

方式2：使用命名App实例 #

如果需要拆分App上下文，也可以保留多App实例的写法，注意同项目下的命名App实例会自动共享已登录的认证态，不需要重复执行登录操作，代码示例：

// 完成默认App登录后，初始化命名App实例时仅需配置对应数据库URL即可
const app2 = initializeApp({
  databaseURL: '第二个实时数据库的URL'
}, 'app2');
const db2 = getDatabase(app2);
await set(ref(db2, 'users'), {
  user: 'me'
});

排查注意点 #

如果修正代码后仍然报权限错误，优先排查以下问题：

• 确认第二个数据库的安全规则已经正确发布：很多用户会出现规则编辑后未点击发布、或者在控制台切错数据库实例配置规则的情况，导致规则未实际生效
• 确认自定义Token生成时正确注入了chatEnabled: true的自定义声明，可以在客户端登录后打印auth.currentUser.getIdTokenResult()查看解析后的Token字段是否正确
• 确认填入的第二个数据库URL属于当前Firebase项目，跨项目的数据库无法用当前项目的Token授权访问

内容的提问来源于stack exchange，提问作者bearsworth