Firebase 存储安全规则：指定“允许读取：如果 request.auth ！= null”后，我仍然可以使用提供的下载链接访问我的文件

Question

我的 Firebase 存储规则是

service firebase.storage {
    match /{allPaths=**} {
      allow read: if request.auth != null;
  }
}

我已从 google 注销并使用 chrome 浏览器（隐身模式），然后输入从 firebase.storage 获得的 url（下载 url 链接）。我仍然可以下载文件。如果用户已通过 firebase.authentication 身份验证，如何确保文件仅允许下载？

我的文件位于根 firebase.storage 位置。

我也试过了

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read: if request.auth != null;
}
}
}

firebase.storage 中有一个 revoke download url url 但它似乎根本没有做任何事情。

Answer 1

下载网址可供公众访问，用于将文件共享给 Firebase 之外的应用程序。 Firebase 安全规则不会通过下载 URL 控制对存储对象的访问。您可以使用 Firebase 控制台撤消下载 URL。

另请参阅此answer from a Firebase team member 相关问题。他指出：

使用下载 URL 是在外部共享文件的适当方式 应用程序，或不需要登录的用户。