未登录用户可绕过Firebase默认Storage规则访问存储桶的原因是什么？

问题原因 #

这个现象的核心是你的开发设备环境残留了有效的Firebase认证凭证，或者请求没有触发线上的权限规则，和规则本身无关，常见有3种可能：

• 你此前在同一域名/本地服务下做过Firebase登录测试，Firebase Auth SDK默认会将登录凭证持久化存在浏览器的IndexedDB/LocalStorage中，你清理普通浏览器缓存、登出Google账号/控制台不会清除这部分SDK存储的凭证，请求时SDK会自动带上有效凭证，满足request.auth != null的规则校验，所以不会被拦截。
• 本地开启了Firebase Storage模拟器但未关闭，模拟器默认允许所有读写请求，不会触发你配置的线上规则，你本地的所有存储请求都走了本地模拟器，自然不会报错。
• 浏览器安装了Firebase相关的调试扩展，这类扩展会自动给Firebase请求注入有效的管理员权限凭证，绕过规则校验。

排查解决步骤 #

1. 先检查是否启用了Storage模拟器：查看代码中是否存在connectStorageEmulator相关的调用，同时检查本地是否有运行中的firebase emulators:start进程，关闭后再测试。
2. 彻底清除站点的所有本地存储数据：打开浏览器开发者工具（F12），进入「应用」/「Application」标签页，找到「清除站点数据」选项，勾选所有存储项（Cookie、LocalStorage、IndexedDB、缓存存储等），执行清除后关闭浏览器重启测试。
3. 验证当前登录状态：在uploadFile、downloadFile函数开头添加打印代码console.log('当前登录用户：', auth.currentUser)，如果打印结果不为null，就说明确实存在残留的有效登录态，执行上一步的清除操作即可解决。

内容的提问来源于stack exchange，提问作者MartinJ