Firebase Admin Storage调用getSignedUrl报The caller does not have permission错误怎么办

问题根源 #

该报错是Cloud Functions运行时使用的默认服务账号缺少生成Cloud Storage签名URL所需的IAM权限导致的。Firebase Admin SDK在云函数环境下默认调用你的项目ID@appspot.gserviceaccount.com服务账号，该账号默认未配置签名相关权限，无法完成签名URL的生成操作。

排查&解决步骤 #

• 确认服务账号身份
  首先在Google Cloud控制台的IAM页面找到上述格式的默认App Engine服务账号，确认当前云函数的运行身份是该账号。
• 给服务账号授予必要权限
  可任选以下一种权限配置方案：
  1. 直接授予Storage Object Signer预置角色，该角色自带生成签名URL所需的storage.objects.signBlob和storage.objects.get权限，适配绝大多数场景
  2. 如需细粒度权限控制，可单独为该账号配置storage.objects.get和storage.objects.signBlob两个自定义权限
• 检查存储桶额外限制
  确认目标存储桶的IAM策略没有针对该服务账号设置拒绝访问的规则，存储桶的全局权限限制不会拦截合法的签名URL生成请求，仅需保证服务账号对目标文件有读取权限即可。
• 本地测试适配方案
  若本地用Firebase模拟器测试时也出现同类错误，可在Google Cloud控制台下载对应服务账号的JSON密钥文件，启动模拟器前设置环境变量export GOOGLE_APPLICATION_CREDENTIALS="本地密钥文件路径"即可正常生成签名URL。

代码优化建议 #

当前代码的参数配置符合要求，可补充错误捕获逻辑避免未处理异常抛到前端：

try {
  const [url] = await blob.getSignedUrl({ 
    action: 'read', 
    expires: Date.now() + 60 * 1000, 
    contentType: mimetype 
  })
  // 正常业务逻辑
} catch (err) {
  console.error('签名URL生成失败', err)
  throw new functions.https.HttpsError('internal', '资源链接生成失败')
}

内容的提问来源于stack exchange，提问作者Rodrigo