如何仅允许Firebase Function无需身份认证向Firebase Storage上传文件

完全可行，共有两种常用的实现方式，均不会对外暴露Storage的公开写入权限：

方案1：使用Firebase Admin SDK（推荐） #

Firebase Functions属于受信任的服务端运行环境，直接使用Admin SDK操作Storage时默认跳过用户身份认证校验，无需修改Storage安全规则即可完成上传。
操作步骤：

• 在Functions代码中引入并初始化Firebase Admin SDK，部署在官方托管环境时无需手动传入服务账号密钥，会自动匹配项目默认服务账号获取权限
• 直接调用Admin SDK的Storage相关方法完成上传，参考代码示例：

const { initializeApp } = require('firebase-admin/app');
const { getStorage } = require('firebase-admin/storage');

// 初始化Admin SDK
initializeApp();
// 替换为你自己的Storage桶名称
const storageBucket = getStorage().bucket('你的项目ID.appspot.com');

async function uploadFile(targetPath, content) {
  const fileRef = storageBucket.file(targetPath);
  // 支持传入Buffer、字符串、流等多种内容格式
  await fileRef.save(content);
  return { success: true, path: targetPath };
}

注意：严禁在前端客户端代码中引入使用Admin SDK，会导致全权限泄露

方案2：通过Storage安全规则限制仅服务账号可写入 #

如果不使用Admin SDK，也可以通过配置Storage安全规则，仅开放写入权限给Firebase Functions的默认服务账号：

1. 首先获取你的项目Functions默认服务账号邮箱，路径为：Firebase控制台→项目设置→服务账号→Firebase Admin SDK服务账号，格式为你的项目ID@appspot.gserviceaccount.com
2. 替换以下规则中的服务账号邮箱后，更新到Storage安全规则中：

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      // 仅允许指定服务账号无需用户认证即可写入
      allow write: if request.auth != null && request.auth.token.email == "替换为你的服务账号邮箱";
      // 其他端的读写规则可在此处自行补充
      allow read, write: if request.auth != null;
    }
  }
}

内容的提问来源于stack exchange，提问作者Rohan Keskar18