android - 限制 Firebase API key

Question

我一直在玩弄 Firebase，在阅读文档(和其他 SO 问题)之后，我仍然对某些 API key 感到困惑。我将 Firebase 用于分析、Crashlytics 和性能。但也将其链接到 Google Play 和 AdMob。

当我第一次设置它时，在开发者控制台中创建了 3 个 API key 。

1. 浏览器 key (由 Google 服务自动创建)
2. Android key (由 Google 服务自动创建)
3. 服务器 key (由 Google 服务自动创建)

我尝试通读文档以找到描述这些键的使用方式的位置，但我没能找到。环顾 Firebase 应用程序，看起来 Android Key 用作 Web API Key，而 Server Key 用作Cloud Message Legacy Server Key(尽管我不使用云消息)。我不确定 Firebase 如何使用 Browser Key。

我想做的是尽可能地限制这些 key ，以防止对它们的任何恶意使用。

我添加了以下 API 限制

1. 安卓 key
   • Firebase 服务 API
2. 服务器 key
   • Firebase 云消息传递 API
3. 浏览器 key
   • Firebase 服务 API

我不完全确定这些限制是否适合我使用它们的目的，但它至少对 Android Key 和 Server Key 有效据我所知。但是，Browser Key 限制似乎不起作用，因为当我重新部署我的应用程序时 Firebase 正在创建一个新的 Browser Key。

总结一下我的问题，我可以看到 Firebase 正在为我自动创建 API key ，但我找不到任何文档来说明如何将这些 key 用于我正在使用的 Firebase 的基本功能。我也不完全确定如何限制这些 key ，尤其是 Browser Key。

Answer 1

有应用程序限制，您可以通过以下方式进行限制:HTTP 引荐来源网址、IP 地址、Android 应用程序、iOS 应用程序。这些是唯一似乎有效的方法

我发现最好不要限制对自动生成的 Firebase API key 的 API 调用。我已尝试对 Firebase Web API key 进行 API 限制，但更改会破坏其他组件。

我尝试将 API 调用限制为仅与 Firebase 或身份验证有关的调用。进行这些更改后，使用 Firebase 使用密码登录停止工作，并在 Javascript 控制台中显示以下错误消息:

https://www.googleapis.com/identitytoolkit/v3/relyingparty/verifyPassword?key=THE 1NOW1RESTRICTED1API1KEY
{
  "error": {
    "code": 400,
    "message": "EMAIL_NOT_FOUND",
    "errors": [
      {
        "message": "EMAIL_NOT_FOUND",
        "domain": "global",
        "reason": "invalid"
      }
    ]
  }
}