Flutter Web接入Firebase App Check后访问Storage报403权限错误如何解决

解决方案 #

1. 优先检查Firebase Storage安全规则

绝大多数无其他明确报错的403权限问题都由安全规则配置错误导致，默认的Storage安全规则要求用户登录后才可读写资源：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if request.auth != null;
    }
  }
}

如果你的images目录下的资源需要公开访问，可以修改对应路径的规则：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /images/{allPaths=**} {
      allow read: if true;
      // 写入操作可按需保留认证限制
      allow write: if request.auth != null;
    }
  }
}

修改完成后点击发布，等待1-2分钟规则生效后再测试请求。

2. 校验App Check配置有效性

你已经修复了无效App Check token报错，但仍需确认两点：

• 确认Web端App Check token可正常生成，可在初始化逻辑中加入调试代码验证：

import 'package:firebase_app_check/firebase_app_check.dart';

// Firebase初始化完成后调用
String? checkToken = await FirebaseAppCheck.instance.getToken(true);
print("当前App Check Token: $checkToken");

如果无法正常返回token，检查debug环境下是否配置了Web端的App Check debug secret，生产环境下是否完成了App Check的域名校验配置。

• 确认Storage的App Check强制保护开启后，你的token权限足够访问资源，可临时关闭Storage的App Check强制保护测试请求是否正常，排除App Check拦截问题。

3. 检查GCP存储桶IAM权限

如果安全规则无问题，需验证存储桶的IAM配置：

• 打开GCP控制台进入对应项目的云存储页面，找到目标存储桶
• 切换到「权限」标签页，点击「授予权限」
• 如果资源需要公开访问，新主体输入allUsers，角色选择Cloud Storage > 存储对象查看者，保存即可。如果仅需公开部分路径，可通过添加条件限制权限生效范围。

4. 验证单个存储对象的权限配置

由于你是手动上传的图片，可能存在单个对象的权限配置覆盖了桶级规则的情况：

• 在Firebase Storage控制台找到images/panda_16x9.jpeg文件
• 点击文件右侧的更多操作按钮，选择「编辑权限」
• 确认文件没有配置私有访问限制，如有则按需调整权限即可。

内容的提问来源于stack exchange，提问作者Dishank Jindal