自托管非GCloud服务器用服务账号访问Firestore权限不足如何解决

• 确认依赖的是Firebase Admin SDK而非客户端SDK
  客户端SDK即使传入service account也会触发安全规则校验，只有Admin SDK默认绕过安全规则访问Firestore。Java环境Maven依赖示例如下：

<dependency>
  <groupId>com.google.firebase</groupId>
  <artifactId>firebase-admin</artifactId>
  <version>官方最新稳定版</version>
</dependency>

• 检查Admin SDK初始化配置是否正确
  自托管环境无GCP默认凭证，必须显式加载service account凭证文件初始化，示例代码如下：

import com.google.auth.oauth2.GoogleCredentials;
import com.google.firebase.FirebaseApp;
import com.google.firebase.FirebaseOptions;
import java.io.FileInputStream;
import java.io.IOException;

public class FirebaseInit {
  public static void init() throws IOException {
    FileInputStream serviceAccount =
      new FileInputStream("你的service account凭证JSON文件的绝对路径");

    FirebaseOptions options = FirebaseOptions.builder()
      .setCredentials(GoogleCredentials.fromStream(serviceAccount))
      // 禁止添加databaseAuthVariableOverride参数，否则会强制触发安全规则校验
      .build();

    if (FirebaseApp.getApps().isEmpty()) {
      FirebaseApp.initializeApp(options);
    }
  }
}

• 验证service account的IAM权限
  进入对应GCP项目的IAM控制台，找到你使用的service account，确保已分配至少以下权限之一：
  • Cloud Datastore 用户（roles/datastore.user）
  • Firebase Firestore 编辑者（roles/firebasefirestore.editor）
  • 编辑者（roles/editor，权限范围更大，按需使用）
    同时确认service account所属项目和你的Firestore项目完全一致，不存在跨项目权限问题。
• 排查网络与凭证有效性
  • 确认service account凭证JSON文件未被篡改、未过期，服务运行环境有权限读取该文件
  • 确认自托管服务器可正常访问firestore.googleapis.com，如有网络限制可配置合法代理，同步检查Java应用的JVM代理配置是否正确
  • 可通过gcloud工具验证凭证有效性：执行gcloud auth activate-service-account --key-file=你的凭证文件.json后，再执行gcloud firestore documents list --collection=任意测试集合，确认凭证本身具备访问权限

内容的提问来源于stack exchange，提问作者Shivku