Firebase Storage图片URL持续返回Access Denied，求排查配置问题

问题描述 #

我开发了一个小型应用，使用Firebase Functions将图片上传至Firebase Storage，上传完成后将图片URL存储到Firebase数据库中，后续在应用中复用该图片。但无论尝试何种方式，在浏览器或应用中访问该URL时，始终返回如下错误：

return (<Error>
<Code>AccessDenied</Code>
<Message>Access denied.</Message>
<Details>Anonymous caller does not have storage.objects.get access to the Google Cloud Storage object. Permission 'storage.objects.get' denied on resource (or it may not exist).</Details>
</Error>
)

使用的代码：

filename = `{panel}.png`;
        
const bucket = admin.storage().bucket();
const file = bucket.file(filename);
        
// Upload the image data directly
await file.save(imageData!, {
    metadata: {
        contentType: 'image/png'
    }
});
        
// Make the file public and get the download URL
await file.makePublic();
publicUrl = file.publicUrl();

Firebase Storage规则配置：

rules_version = '2';
    service firebase.storage {
        match /b/{bucket}/o {
            match /{allPaths=**} {
                allow read; // Allows public read access
                // allow write: if request.auth.uid != null; // Keep or modify for write access
            }
        }
    }

请问哪里配置出错了？

排查与解决方法 #

• 规则生效延迟：Firebase Storage规则修改后，通常需要5-10分钟才能全局同步生效，刚更新完就测试可能会遇到权限未生效的情况，等待一段时间后再重试。
• 权限逻辑冲突：调用file.makePublic()会给文件添加Cloud Storage IAM公共读权限，但如果项目启用了Firebase Storage安全规则强制执行，IAM权限会被规则覆盖。确认规则已正确部署（在Firebase控制台Storage规则页面点击"发布"），当前规则allow read;确实允许匿名读访问。
• 文件路径/URL错误：检查filename变量是否正确生成了预期的文件名，比如panel变量是否赋值正确、有无非法字符，导致实际存储的文件路径与访问URL不匹配。同时在Firebase控制台Storage面板确认文件是否存在，对比publicUrl()返回的路径是否一致。
• Admin SDK权限不足：Firebase Functions使用的服务账号（格式为[项目ID]@appspot.gserviceaccount.com）需要拥有storage.objects.setIamPolicy权限才能执行makePublic()操作。可以在Google Cloud控制台的IAM页面，给该服务账号添加"Storage Object Admin"角色。

内容的提问来源于stack exchange，提问作者feeyam