O write ja é pra pessoas autenticadas na aplicação, quem upa as imagens no storage é o back, provindo de requisição autenticadas do usuario.
Não entendi bem o appcheck, mas uma vez que a url da imagem é publica, as requisições a ela não ficariam vinculadas a minha aplicação, pois preciso disponibilizar a imagem pro front.

Não encontrei nada dentro do firebase storage que limite a quantidade de request a uma imagem publica.