如何限制混合应用程序的 Google API 密钥？

Question

我正在构建一个使用 Firebase/Firestore 的生产型混合移动应用。由于它是一个混合应用程序，我不能使用捆绑 ID 或 HTTP 引用方法来限制 API 密钥（Google 支持确认不支持）。

我担心任何人都可以反编译应用程序并获取 API 密钥，在本地使用简单的 Node.js 脚本并访问我的数据库。

Node.js 脚本可以绕过所有 Firestore 规则，使不受限制的 API 密钥非常强大。到目前为止，我一直无法找到一种方法来限制混合应用程序的密钥，包括联系 Google 支持。我想知道真正实现 firebase/firestore 安全性的唯一方法是使用原生应用还是使用混合？

Answer 1

实际上对于 ios，我们无法限制 google api 密钥。但是，对于 android，我们只使用了 HTTP referrer 方法。

对于安卓来说是可以的。

如果您使用的是 ionic4，请使用您在 config.xml 中设置的与您的 Android 应用相对应的任何原始值。