Flutter上传文件到Firebase Storage时手动设置firebaseStorageDownloadTokens报错求助

• firebaseStorageDownloadTokens是Firebase Storage内部保留字段，官方在近年的客户端SDK更新中明确禁止客户端直接写入该字段，目的是避免开发者随意篡改下载令牌的权限配置，所以你当前的代码写法没有错误，返回400错误是官方的正常权限拦截。你提交的相关功能请求大概率不会被官方受理，该限制属于有意设计的安全规则，不是插件bug。

你的核心需求是生成可预测的下载URL，不需要每次上传后强制调用接口获取下载地址，可以根据实际场景选择以下方案：

• 方案1：低敏感公开资源直接设置存储桶公开读权限
  公开读权限下的文件下载URL完全固定可预测，格式为：
  https://firebasestorage.googleapis.com/v0/b/[你的存储桶名称]/o/[URL编码后的文件路径]?alt=media
  不需要携带任何令牌即可访问，对应Storage安全规则配置参考：

  rules_version = '2';
  service firebase.storage {
    match /b/{bucket}/o {
      match /{publicFilePath=**} {
        allow read: if true;
        allow write: if request.auth != null; // 可根据业务调整写权限要求
      }
    }
  }
  

• 方案2：需要令牌校验的场景改用自定义元数据字段存储令牌
  避免使用保留字段firebaseStorageDownloadTokens，自己定义非保留名的元数据字段存储自定义令牌，示例代码调整如下：

  final metadata = firebase_storage.SettableMetadata(
      customMetadata: {'custom_download_token': customToken});
  
  _uploadTask = _storage.ref().child(filePath).putFile(widget.file!, metadata);
  

  上传完成后可直接拼接下载地址：
  https://firebasestorage.googleapis.com/v0/b/[你的存储桶名称]/o/[URL编码后的文件路径]?alt=media&token=[你设置的customToken]
  同时在Storage安全规则中添加令牌校验逻辑即可：

  rules_version = '2';
  service firebase.storage {
    match /b/{bucket}/o {
      match /{allPaths=**} {
        allow read: if request.url.queryParameters['token'] == resource.metadata.custom_download_token;
        allow write: if request.auth != null;
      }
    }
  }
  

• 方案3：无特殊可预测要求的场景直接缓存默认生成的下载地址
  上传完成后调用一次getDownloadURL()获取官方生成的下载地址，将地址缓存到本地或者关联的Firestore文档中，后续直接取用即可，该接口调用开销极低，不会产生多余的业务成本。

内容的提问来源于stack exchange，提问作者jbryanh