Android 和 SafetyNet 以确保对 API 的调用仅来 self 的应用程序

Question

我的 Android 应用程序对我的后端进行了一些 REST 调用。我希望只有且只有我的应用程序有权调用端点。

我打算使用 Google 的 SafetyNet 来存档。

1) My app ask my server fora random nonce
2) My app ask for an .attest()
3) My app receive the JWT
4) My app call one of my endpoint by providing the JWT
5) My server calls Google server to verify the JWT is correct
6) If yes, the call is processed, rejected otherwise..

我的问题是:.attest() 是否有速率限制？我的应用程序将每 2 或 3 秒发出几个 POST 请求

上述逻辑是否适用于这种规模？有没有其他方法可以确保发布到我的端点的数据来 self 的应用程序并且仅来 self 的应用程序？

Answer 1

是的，如果您如此频繁地调用 attest()，您将受到限制。除了速率限制之外，您不希望像每隔几秒那样频繁地调用它，因为您可能会开始注意到不利的性能影响(API 调用在计算上很昂贵，而且速度不快)。

您描述的逻辑很好，但我建议您仔细考虑需要保护的特定端点操作。通常，将 SafetyNet 证明与特定的高值(value)操作(例如登录或支付交易)一起使用是合适的。对您发出的每个 POST 请求都这样做可能不会带来什么增量 yield 。

根据您的用例，documentation就如何使用 API 结果提出额外建议:

Ideally, you should use the SafetyNet Attestation API as an additional in-depth defense signal as part of an anti-abuse system, rather than the sole anti-abuse signal for your app.