Firebase Storage仅向匿名登录用户提供资源无token访问异常问题问询

问题核心原因 #

你遇到的现象是Firebase Storage两种访问机制的差异导致的，你的存储规则本身逻辑没有问题：

• 存储规则里的request.auth校验仅对通过Firebase官方SDK发起的请求生效：SDK会自动把当前登录用户的ID Token放到请求的Authorization头中，规则会读取这个身份信息完成校验，这也是模拟器测试能通过的原因——模拟器模拟的就是SDK的请求链路。
• 你URL里带的?token=xxx是文件的下载令牌（Download Token），这个是文件级的公开访问凭证，设计上就是完全绕过存储规则的：只要持有这个令牌，不管用户是否登录、规则怎么配置，都可以直接访问到对应文件，和用户身份没有任何关系。

两个异常的具体解释 #

• 直接访问不带任何token的URL返回403是正常现象：请求既没有携带SDK注入的用户ID Token，也没有文件下载令牌，自然会被权限拦截。
• 带下载令牌的URL所有人可访问也是符合设计的，和你的存储规则无关。

需要补全的配置和调整方案 #

1. 确认规则已经发布：很多开发者改完规则后仅在模拟器测试，忘记点击规则编辑器右上角的「发布」按钮，生产环境实际运行的还是旧规则。
2. 检查匿名登录开启状态：进入Firebase控制台 → Authentication → 登录方法，确认匿名登录的开关已经开启，否则匿名用户的身份凭证本身无效，request.auth会为空。
3. 确认Bucket匹配：检查你代码中使用的Storage Bucket，和你修改规则的Bucket是同一个，多Bucket场景下很容易出现规则修改错Bucket的问题。
4. 停止分发带下载令牌的静态URL：如果要实现仅匿名登录用户可访问的逻辑，不要直接对外暴露带下载令牌的URL：
   • 前端统一用Firebase SDK的getDownloadURL()方法获取临时访问链接，只有当前用户符合存储规则时，该方法才会返回有效的访问链接。
   • 如果你之前已经生成过静态的带下载令牌的URL，可以进入Firebase控制台对应文件的详情页，撤销现有下载令牌，旧的URL就会立即失效。

内容的提问来源于stack exchange，提问作者Neurus