如何在Firebase存储安全规则中访问实时数据库验证用户权限？

当然可以！Firebase存储安全规则完全支持引用实时数据库的数据，刚好能解决你这种需要基于额外用户元数据做权限判断的场景。

具体实现步骤 #

核心是利用存储规则中的database.get()函数读取实时数据库里的用户权限标记，结合你的需求，修改后的规则如下：

service firebase.storage {
  match /b/{bucket}/o {
    match /files-demo/{allDirPaths=*} {
      allow read: if true;
    }
    match /files-complete/{allDirPaths=*} {
      allow read: if request.auth != null &&
        // 读取实时数据库中当前用户的hasFullAccess字段
        database.get(/databases/$(database)/users/$(request.auth.uid)/hasFullAccess).value == true;
    }
  }
}

关键细节说明 #

• 路径格式：/databases/$(database)/users/$(request.auth.uid)/hasFullAccess是实时数据库的绝对路径，其中$(database)是占位符，会自动替换为当前项目的默认实时数据库实例ID。
• 容错处理：如果部分用户在数据库中没有对应的元数据节点，直接调用get()会导致规则报错，建议加上exists()判断避免这种情况：

  allow read: if request.auth != null &&
    database.exists(/databases/$(database)/users/$(request.auth.uid)) &&
    database.get(/databases/$(database)/users/$(request.auth.uid)/hasFullAccess).value == true;
  

• 实时数据库权限配合：你需要确保实时数据库的安全规则允许存储服务读取用户元数据，最简单的方式是允许用户读取自己的节点：

  {
    "rules": {
      "users": {
        "$uid": {
          ".read": "auth != null && auth.uid == $uid",
          ".write": // 保留你原有的写权限规则
        }
      }
    }
  }
  

额外提示 #

虽然这种方法完全可行，但每次存储访问都会触发一次实时数据库读取。如果后续你的访问量很大，可以考虑将hasFullAccess标记迁移到Firebase Auth的自定义Claims中，这样权限判断会更高效（无需额外数据库调用）——不过既然你提到无法扩展用户对象，当前方案就是最适合你的选择。

内容的提问来源于stack exchange，提问作者Jonathan002