如何识别Firebase请求来源、被访问文件及排查存储流出成本激增问题

1. 必须开启的核心日志 #

• 开启Cloud Storage 数据访问审计日志：进入Google Cloud控制台IAM的审计日志设置页，为Cloud Storage服务开启data_access级别的审计，日志会自动记录所有对存储桶的请求信息，包含请求时间、访问的完整文件路径、请求来源IP、请求方法、返回状态码、单次请求传输字节数、请求方身份标识等核心字段，是定位问题的核心数据来源。
• 若使用Firebase CDN/Hosting代理存储资源访问，同步开启CDN访问日志，排查是否为CDN回源规则异常导致的重复请求突增。

2. 辅助溯源的扩展日志 #

• 若业务使用Firebase Auth做用户鉴权，同步开启Firebase Authentication审计日志，可将Storage请求中的principalId字段与Auth日志关联，区分请求来自匿名用户还是登录用户，进一步定位是否为特定用户的异常行为导致流量激增。
• 若存储桶绑定了GAE服务，同步开启GAE的访问日志，排查是否为服务端逻辑异常重复请求Storage资源导致的内部流量突增。

3. 定位问题的查询方法 #

完成日志配置后，在Google Cloud Logs Explorer中使用过滤规则即可快速定位原因：

• 限定时间范围查询激增时段的所有Storage请求，过滤语句参考：resource.type="gcs_bucket" AND logName="projects/你的项目ID/logs/cloudaudit.googleapis.com%2Fdata_access" AND timestamp>="202X-XX-XXT00:00:00Z" AND timestamp<="202X-XX-XXT23:59:59Z"
• 统计高频访问文件：对查询结果按protoPayload.resourceName字段聚合，统计每个文件的总访问次数、总传输字节，即可定位被高频访问的具体资源。
• 统计请求来源：按protoPayload.requestMetadata.callerIp字段聚合，可快速排查是否为单个IP/IP段恶意刷量，或是特定区域的请求突增。

注意事项 #

• 数据访问审计日志会产生少量日志存储成本，排查完成后可按需调整日志保留周期，避免额外开支。
• 若存储桶配置了公开访问权限，优先排查是否为爬虫批量爬取公开资源导致的流量突增。

内容的提问来源于stack exchange，提问作者ask