- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
我目前正在设置一个 Firebase 云消息传递项目。将应用程序添加到此项目时,FCM 会自动生成一些凭据,例如服务器 key 以及 Android 和 iOS 客户端 key 。
对于 Android,我可以下载并使用 google-services.json 文件来设置客户端,即注册 FCM token 和接收推送消息。但是我如何限制它以便只有我的应用可以接收这些消息?
我认为这将是(自动创建的)Android 客户端 API key ,因此为了测试我在 key 的限制中放置了不正确的包名称和 SHA 指纹。没效果,还能收到消息。
然后我尝试从 google-services.json 文件中完全删除 API key 和 oauth 客户端信息,以确认设备将无法接收消息。没有影响,仍然可以收到消息。除了应用程序 ID(和一般项目信息)外,所有客户信息似乎都被完全忽略了。
所以,我真的很想知道是什么阻止了对应用程序进行逆向工程以提取应用程序 ID 和一般项目信息,然后在完全不同的应用程序中接收推送消息?我不明白为什么 Android 客户端 API key 等包含在 google-services.json 文件中,或者如果不使用它们,为什么还要创建它们。
最佳答案
google-services.json
中的所有信息本质上都是配置数据,您的应用会使用这些配置数据在 Google 服务器上查找 Firebase 服务。您不应该依赖于了解它或不知道它作为一种安全机制。
相反,您应该以确保仅将邮件传递给目标收件人的方式发送邮件。其中很大一部分是sending messages to specific FCM Instance ID tokens . Firebase 的实例 ID token 是无法猜测的。最初,此注册 token 仅在生成它的客户端设备上是已知的,并且该设备决定与谁共享它。
通过确保您的客户端代码只与您自己的服务器端代码共享 token ,然后服务器端代码使用它来定位 FCM 消息,您可以创建一个完全安全的传递环境,您可以在其中完全控制谁可以接收每条特定消息。
另一边是FCM topics ,这是一种向用户组传递消息的更简单的机制。由于任何客户端都可以订阅它知道其 ID 的任何主题,因此主题应该用于传递需要不太安全的定向传递的消息。
关于android - 如何确保只有我的应用能够注册和接收从 FCM 发送的消息?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/52025709/
我有以下对象: dog = { location: { x: 52.1089, y: 16.2323 }, f: function(message) { alert
在 TSQL 中,如果我要搜索有效的 .com 电子邮件地址,我需要确保有一个 @ 符号,它以 .com 结尾,并且在 @ 前后至少有一个字符。 SELECT * FROM CUSTOMER WHER
我正在尝试准备一个信用卡交易列表,以便在 Excel 2010 中进行透视和进一步分析(满足个人需求)。问题是我的银行机构没有遵循标准的日期格式,所以有时日期会显示为 Jun. 1, 2013 , 有
看来您不能在 riak 中进行交易。如何确保数据正确? 假设我们要插入评论。在 redis 我会做 commentId=incr commentCount multi SET comment_post
对于下面给定的模式,是否可以确保至少一个属性包含一个值(即 minLength 为 1): { "$schema": "http://json-schema.org/draft-04/sche
我计划在 Haxe 的一个子集中编写 Haxe 库,这些库将编译为每种 Haxe 目标语言。有什么方法可以验证 Haxe 程序是否可以编译为所有目标语言,是否可以在不手动测试每个目标平台上的编译代码的
如果浏览器窗口未聚焦,则当前页面上的所有 webdriver 标识都失败。 如何使用 webdriver 使浏览器成为焦点? 最佳答案 ((JavascriptExecutor) webDriver)
我从这样的 HTML GET 请求中获取图像链接... www.example.com?image=www.anotherdomain.com/image.jpg if (isset($_GET['i
我有一个 eunit 测试,它生成一个唯一的节点名称并开始分发: {A,B,C} = now(), Nodename = list_to_atom(lists:flatten(io_lib:forma
我正在完成我的 iPhone 应用程序。我只是担心我们的网络服务器级别的安全性。数据通过网络服务被传送到 iPhone 应用程序。 我可以在网络服务上采取哪些安全措施,以免受到攻击? 谢谢 最佳答案
我正在编写一个应用程序,该应用程序启动一个运行简单 Web 服务器的子进程。我正在使用 NSTask 并通过管道与其进行通信,一切看起来或多或少都很好。但是,如果我的程序崩溃,子进程将保持事件状态,并
我有一些应用程序,我调用 ShowMessage('Complete!');在长时间操作结束时。 大多数时候,这效果很好,但每隔一段时间,消息对话框就会显示在主窗体后面。 有什么方法可以确保 Show
我通过将消息插入集合并让模板使用 {{#each}} 打印出集合来创建一个简单的聊天。 我不太熟悉安全性,但是有没有办法让它符合 EFF 规定? https://www.eff.org/secure-
我有一个商店,我想在其中正确管理 id。假设我有以下帖子存储: type Post = { id: number; title: string; body?: string; } type
我有一个使用 ajax post 方法和数据表的程序。经过几周的摆弄,我确定我根本不明白 javascript 是如何工作的。这是我的 JavaScript: $('#SaveTimeSheet').
我有一个系统,如果从 Azure 服务总线丢失消息将是一场灾难,也就是说,数据将永远丢失,并且没有实际方法可以在不造成重大中断的情况下修复损坏。 在这种情况下我可以完全依赖 ASB 吗? (即使它
如何确保 scalatest 测试不会并行运行?在 0.12 之前,我有一个 sbt 设置: parallelExecution in Test := false 新版本引入了一些复杂的机制。这种更简
我的端点有两个如下所示的 promise : request.post({ url: url, json: smsSTART, header
简短版本 当 ui-router 转换到新 View 时(以我不完全理解的方式使用 ngAnimate),它会添加类 ng-leave 和 ng-leave-active 到当前 View 。它还将类
目前正在努力寻找验证 2 个表的方法(有效地验证表 A 的大量行) 我有两张 table 表A ID A B C 表格匹配 ID Number A 1 A 2 A 9 B 1
我是一名优秀的程序员,十分优秀!