Firebase Storage保存缩略图URL报SignatureDoesNotMatch错误排查

问题背景 #

使用Firebase Resize扩展时，原图上传后会自动在同目录生成尺寸调整后的文件，命名规则为原文件名_尺寸，例如user1profile => user1profile_320x320。
编写的存储触发云函数逻辑为：缩略图生成后自动生成访问URL，写入Firestore对应文档，核心代码如下：

const isThumbnail = object.name.endsWith("_320x320");

const signedURLconfig = {
  action: "read" as const,
  expires: "03-09-2491",
};

const signedURLArray = await file.getSignedUrl(signedURLconfig);
const url = signedURLArray[0];

if (folder == "profilePhotos" && isThumbnail) {
  const userPublicRef = db.collection("usersPublic").doc(userId);
  const usersPrivateRef = db.collection("users").doc(userId);

  batch.set(userPublicRef, { profilePhoto: url }, { merge: true });
  batch.set(usersPrivateRef, { profilePhoto: url }, { merge: true });

  await batch.commit();
}

异常现象：功能上线初期可正常访问缩略图，一段时间后链接失效，即使配置的过期时间远未到。

问题解答 #

1. 失效原因与修复方案 #

失效核心原因有两个：

• 你使用的是V4版本签名URL，这类URL最长有效期强制为7天，你配置的2491年过期时间超出API限制，根本不会生效，到7天自然失效。
• 云函数默认使用的Google Cloud服务账号密钥是自动轮换的，一般14天内就会替换新密钥，旧密钥生成的签名会直接被判定无效，不管你设置的有效期是多久。

修复方案按优先级选择：

• 如果头像这类资源本身允许公开访问，直接给存储桶的profilePhotos路径配置公开读权限，使用固定格式的公共URL：https://storage.googleapis.com/[你的存储桶名称]/[文件完整路径]，这个链接永久有效，长度也短，可直接存入Firestore。
• 如果资源需要做权限控制，不要预生成URL永久存储。客户端需要访问资源时，直接通过客户端SDK调用getDownloadURL()获取地址，或者在客户端发起请求时通过可调用云函数动态生成有效期1-2小时的短期签名URL返回给前端，不要做长期存储。
• 不推荐方案：手动创建一个不开启密钥自动轮换的服务账号，用这个账号的固定密钥生成签名URL，但会带来极高的密钥泄露风险，一旦密钥外泄所有资源都可能被未授权访问。

2. 签名URL必须设置过期时间的原因 #

签名URL的设计初衷就是临时授权访问：拿到URL的任何人不需要额外鉴权，就可以在有效期内访问对应资源。如果允许设置永久有效，一旦URL泄露（比如日志打印、前端缓存泄露、抓包获取），没有任何办法回收这个访问权限，资源会永久暴露在公网，属于极高的安全隐患，所以Google Cloud从API层面强制要求所有签名URL必须设置过期时间，且V4签名最长不能超过7天。
如果需要永久可访问的资源链接，直接走公开存储路径的固定URL方案即可，不要使用签名URL。

3. 两类URL长度差异的原因 #

两种URL的生成逻辑、鉴权方式完全不同：

• 云函数调用getSignedUrl()生成的是V4签名临时链接，URL里拼接了大量鉴权参数：签名算法版本、凭证信息、生成时间、过期时长、允许的请求头、加密生成的签名字符串等，参数多自然长度很长。
• 客户端调用getDownloadURL()拿到的是Firebase Storage托管的长期访问地址，鉴权逻辑在Firebase服务端完成，URL本身不需要携带大量签名参数，只包含资源定位信息和短格式的访问令牌，所以长度更短。

内容的提问来源于stack exchange，提问作者Ripas55