Firebase函数管理sdk获取云存储对象的下载url：权限被拒绝

Question

exports.test = functions.https.onRequest(async (req, res) => {
  const file = await admin
    .storage()
    .bucket("XXX")
    .file("YYY");
  await file.makePublic();
  const url = await file.publicUrl();
});

我目前在云存储上设置了图像。因为我需要通过Google Cloud Node.js客户端库来访问这些代码，所以上面的代码是我当前的设置。不幸的是，在运行此代码时，我得到以下错误：

{
  "error": {
    "code": 401,
    "message": "Anonymous caller does not have storage.objects.getIamPolicy access to the Google Cloud Storage object.",
    "errors": [
      {
        "message": "Anonymous caller does not have storage.objects.getIamPolicy access to the Google Cloud Storage object.",
        "domain": "global",
        "reason": "required",
        "locationType": "header",
        "location": "Authorization"
      }
    ]
  }
}

如何初始化管理SDK：

const serviceAccount = require("./[my-project-name]-8a2aa8e3eedc.json");
admin.initializeApp({ credential: admin.credential.cert(serviceAccount) });

rules_version = '2';
service firebase.storage {
  match /b/{bucket}/o/images {
    match /listings/{listingId}/{photo} {
      allow read, write: if true;
    }
    match /users/{userId}/{photo} {
      allow read: if true;
      allow write: if request.auth.uid == userId;
    }
  }
}

Answer 1

虽然Firebase Admin SDK不受存储规则的约束，但附加到运行代码的函数的服务帐户仍然需要具有IAM存储权限，但这些是单独的事情。确保函数的服务帐户具有“存储对象管理”IAM角色。

另一方面，在试图重现该问题时，我发现file.publicurl()方法当前不起作用，因此需要使用getSignedurl方法，顺便说一句，出于安全考虑，这是推荐的方法。或者（尽管非常不鼓励），您可以自己手工创建uri。