限制Firebase API密钥

Question

我一直在玩弄Firebase，在阅读了留档（和其他SO问题）后，我仍然对一些API密钥感到困惑。我正在使用Firebase进行分析、碰撞和性能测试。还可以将其链接到Google Play和AdMob。

当我第一次设置它时，在开发者控制台中创建了3个API键。

1. 浏览器键（由谷歌服务自动创建）
2. Android钥匙（由谷歌服务自动创建）
3. 服务器密钥（由谷歌服务自动创建）

我试图通过阅读文档来找到这些密钥是如何使用的，但我没能找到。环顾Firebase应用程序，它看起来像是Android键被用作Web API键，而服务器键被用作云消息遗留服务器键（尽管我不使用云消息）。我不确定Firebase是如何使用浏览器键的。

我想做的是尽可能限制这些密钥，以防止恶意使用它们。

我添加了以下API限制

• Android密钥
  • Firebase服务API
  • Firebase云消息API
  • Firebase服务API

  我不完全确定这些限制是否适用于我使用它们的目的，但至少就我所知，它适用于Android Key和Server Key。但是，当我重新部署我的应用程序时，Firebase正在创建一个新的浏览器密钥，因此Browser Key限制似乎不起作用。

  总结一下我的问题，我可以看到Firebase正在为我自动创建API密钥，但我找不到任何文档说明如何将这些密钥用于我正在使用的Firebase的基本功能。我也不完全确定如何限制这些键，尤其是浏览器键。




Answer 1

通过提供软件包名称和SHA1指纹，可以将Android密钥锁定为“Android应用程序”。

这似乎会通过签名Android代码的密钥来限制使用？

我启用了这个限制，没有任何不良的副作用。

Answer 2

你可以通过以下方式限制应用程序：HTTP引用程序、IP地址、Android应用程序、iOS应用程序。这些似乎是唯一有效的方法

我发现最好不要限制自动生成的Firebase API密钥上的API调用。我尝试过Firebase Web API Key的API限制，但这些更改会破坏其他组件。

我试图将API调用限制为仅与Firebase或身份验证有关的调用。进行这些更改后，使用Firebase的密码登录停止工作，并在Javascript控制台中显示以下错误消息：

https://www.googleapis.com/identitytoolkit/v3/relyingparty/verifyPassword?key=THE 1NOW1RESTRICTED1API1KEY
{
  "error": {
    "code": 400,
    "message": "EMAIL_NOT_FOUND",
    "errors": [
      {
        "message": "EMAIL_NOT_FOUND",
        "domain": "global",
        "reason": "invalid"
      }
    ]
  }
}