android - 保护我的 Google App Engine API 端点

Question

我最近一直在研究如何保护我的应用引擎。目前，我一直在阅读下面的问题和该问题中的链接:

How do I restrict Google App Engine Endpoints API access to only my Android applications?

但是，它没有解决我的问题。我的问题与上面的问题类似，将对我的端点 API 的访问限制为仅我的应用程序。当他在凭据中输入正确的电子邮件时，这家伙似乎已经成功了。

我的问题是我是否可以在不输入任何凭据的情况下获得相同的结果。我想要它，以便只有我的应用程序可以使用我的端点 API，以防止其他应用程序滥用它并用完我的配额。我已经为我的 android 应用程序获得了一个客户端 ID，并将它放在我的 @API 注释中。为了测试它是否有效，我在另一个 api 类的 @API 表示法中为客户端 ID 创建了一个随机值。但是，我的应用程序仍然能够使用这两个类的方法。有帮助吗？

-编辑-

通过阅读文档和进一步研究，授权应用程序的端点方式是对用户进行身份验证，并让我的 API 检查用户是否为空。我的问题是，在对用户进行身份验证的过程中，Google 是否能够以某种方式读取我的应用程序的 SHA1 指纹并将其授权给其客户端 ID 列表？如果是这样，我如何在我的端点中复制这个过程，以便我检查发出请求的应用程序的 SHA1 指纹并将其与设定值进行比较？我不太了解端点背后的机制，所以如果我理解有误，请纠正我。

Answer 1

如果 Android 应用程序具有访问权限，则用户具有访问权限。有动机的一方有许多选项来检查您的协议(protocol)，包括将设备置于透明代理之后或仅通过调试器运行应用程序。我确实建议通过 ProGuard 运行您的应用程序在发布之前，因为这会使过程 [有点] 更加困难。

最终，您需要使您的应用引擎 API 能够抵御不受信任的各方。这只是网络的状态。