firebase - 可以使用 Firebase RemoteConfig 来存储 API key 吗？

Question

注意:需要澄清的是，这不是 Firebase API key ，这可能更像是一个 token ……客户端应用拥有并由服务器端点验证的东西。

我们正在努力更好地保护 API key (想想用于验证端点客户端的 token )。这全部都在我们的内部网络上，但我们仍然希望确保只有我们的移动客户端才能调用端点。

我认为我们可以将 API key 放入 Firebase 远程配置参数中(应用程序中内置了无效的默认值)。但是，Firebase 远程配置文档说:

Don't store confidential data in Remote Config parameter keys or parameter values. It is possible to decode any parameter keys or values stored in the Remote Config settings for your project.

我不确定这是否只是指与应用程序捆绑在一起的默认值，或者是否也指远程加载的值。获得 key 后，我们可以对其进行加密并通过我们的 MDM 提供商将其存储在设备上。

此外，远程配置数据到应用程序的传输是加密的还是明文的？

感谢任何人都可以提供有关远程配置的更多信息。

Answer 1

这取决于您希望保持 API key 的安全程度。 API key 允许某人做什么？如果只是为了向其他服务(例如 YouTube 数据 API)识别您的应用，那么最糟糕的情况就是恶意用户用完您对该资源的配额。另一方面，如果 key 允许持有者在没有进一步身份验证和授权的情况下对重要数据进行一些不可逆转的更改，那么您永远不希望它以任何形式存储在他们的设备上。

您引用的 Firebase 文档回答了您的问题。一般来说，您不应该在应用程序中存储私钥。查看this question的答案以获得详尽的解释。

使用 Firebase 的远程配置并不比在应用程序包中传送 key 更安全。无论哪种方式，数据最终都会存储在用户的硬件上。理论上，恶意的人可以访问它，无论我们认为这有多困难。

此外，我不能肯定地说(您应该能够轻松测试这一点)，但我非常怀疑远程配置值是否以纯文本形式发送。默认情况下，Google 通过 https 执行所有操作。