如何限制Firebase Storage URL仅允许特定域名访问

Firebase Storage 原生提供的downloadURL()、signedURL()两类访问链接，鉴权逻辑仅校验链接自身的签名合法性、有效期参数，不会校验请求发起方的来源域名，因此默认是公开可访问状态，无法直接实现域名级访问限制，可通过以下三类方案落地需求：

• 代理层校验方案（安全性最高，推荐生产环境使用）
  不在前端直接暴露Storage原生访问链接，所有存储资源的访问入口绑定到你可控的服务层：
  1. 可以搭配Firebase Hosting配置路径重写，将指定资源路径的请求转发给Cloud Functions/Cloud Run处理
  2. 服务层收到请求后，首先校验请求头中的Referer字段，判断来源是否在允许的域名白名单内，非白名单来源直接返回403状态码
  3. 校验通过后，服务端可直接从Storage拉取对应文件流式返回给前端，也可以生成有效期极短（通常设置为5-15秒）的临时签名URL做302跳转，避免长期有效链接泄露
     这种方案下没有可公开传播的长期有效存储链接，访问控制逻辑完全自定义，可靠性最高。
• 存储桶原生Referer限制方案（适合低安全要求场景）
  Firebase Storage底层基于Google Cloud Storage实现，你可以直接为存储桶配置基于Referer的访问控制规则，仅允许白名单内域名的请求读取桶内对象。注意该规则仅能拦截未伪造请求头的普通访问，恶意用户可以通过伪造Referer头绕过限制，不适合存放敏感资源。
• 身份鉴权+安全规则方案（适合需登录访问的场景）
  如果你的资源仅面向站点登录用户开放，可以完全废弃公开URL生成逻辑：前端通过Firebase SDK携带当前用户的身份凭证发起资源请求，在Storage安全规则中配置身份校验、来源校验逻辑，未授权请求会被直接拦截。这种模式下用户即使拿到文件的存储路径，没有合法身份凭证也无法访问资源。

注意：所有基于HTTP Referer字段做的访问限制，都存在被伪造请求头绕过的风险，若资源敏感度较高，必须搭配用户身份校验、短时效签名逻辑，不能仅依赖Referer做唯一判断依据。

内容的提问来源于stack exchange，提问作者Mahesh T.