Sử dụng tính năng Kiểm tra ứng dụng để bảo mật khoá API
Kiểm tra ứng dụng Firebase giúp bảo vệ các lệnh gọi từ ứng dụng của bạn đến Google Maps Platform bằng cách chặn lưu lượng truy cập đến từ các nguồn không phải là ứng dụng hợp lệ. Tính năng này thực hiện việc đó bằng cách kiểm tra mã thông báo từ một nhà cung cấp chứng thực như Play Integrity. Việc tích hợp ứng dụng của bạn với tính năng Kiểm tra ứng dụng giúp bảo vệ khỏi các yêu cầu độc hại, nhờ đó bạn không bị tính phí cho các lệnh gọi API trái phép.
Tính năng Kiểm tra ứng dụng có phù hợp với tôi không?
Bạn nên sử dụng tính năng Kiểm tra ứng dụng trong hầu hết trường hợp. Tuy nhiên, bạn không cần hoặc không được hỗ trợ tính năng Kiểm tra ứng dụng trong các trường hợp sau:
- Bạn đang sử dụng Places SDK gốc. Tính năng Kiểm tra ứng dụng chỉ được hỗ trợ cho Places SDK (mới).
- Ứng dụng riêng tư hoặc ứng dụng thử nghiệm. Nếu ứng dụng của bạn không được cung cấp công khai, thì bạn không cần tính năng Kiểm tra ứng dụng.
- Nếu ứng dụng của bạn chỉ được dùng cho máy chủ với máy chủ, thì bạn không cần tính năng Kiểm tra ứng dụng. Tuy nhiên, nếu máy chủ giao tiếp với Nền tảng Google Maps được các ứng dụng công khai (chẳng hạn như ứng dụng di động) sử dụng, hãy cân nhắc sử dụng tính năng Kiểm tra ứng dụng để bảo vệ máy chủ đó thay vì Nền tảng Google Maps.
- Các nhà cung cấp chứng thực được đề xuất của tính năng Kiểm tra ứng dụng sẽ không hoạt động trên những thiết bị mà nhà cung cấp chứng thực cho là bị xâm phạm hoặc không đáng tin cậy. Nếu cần hỗ trợ các thiết bị như vậy, bạn có thể triển khai một dịch vụ chứng thực tuỳ chỉnh. Để biết thêm thông tin, hãy xem hướng dẫn.
Tổng quan về các bước triển khai
Nhìn chung, đây là các bước bạn sẽ làm theo để tích hợp ứng dụng của mình với tính năng Kiểm tra ứng dụng:
- Thêm Firebase vào ứng dụng của bạn.
- Thêm và khởi chạy thư viện Kiểm tra ứng dụng.
- Thêm nhà cung cấp mã thông báo.
- Bật tính năng gỡ lỗi.
- Theo dõi các yêu cầu của ứng dụng và quyết định về việc thực thi.
Sau khi tích hợp với tính năng Kiểm tra ứng dụng, bạn sẽ có thể xem các chỉ số lưu lượng truy cập phụ trợ trên bảng điều khiển của Firebase. Các chỉ số này cung cấp thông tin chi tiết về các yêu cầu theo việc chúng có đi kèm với mã thông báo hợp lệ của tính năng Kiểm tra ứng dụng hay không. Hãy xem tài liệu về tính năng Kiểm tra ứng dụng Firebase để biết thêm thông tin.
Khi bạn chắc chắn rằng hầu hết các yêu cầu đều đến từ các nguồn hợp lệ và người dùng đã cập nhật lên phiên bản mới nhất của ứng dụng có triển khai tính năng Kiểm tra ứng dụng, bạn có thể bật chế độ thực thi. Sau khi bật chế độ thực thi, tính năng Kiểm tra ứng dụng sẽ từ chối tất cả lưu lượng truy cập không có mã thông báo hợp lệ của tính năng Kiểm tra ứng dụng.
Những điều cần cân nhắc khi lên kế hoạch tích hợp tính năng Kiểm tra ứng dụng
Dưới đây là một số điều cần cân nhắc khi bạn lên kế hoạch tích hợp:
Nhà cung cấp chứng thực mà chúng tôi đề xuất, API Tính toàn vẹn của Play, có giới hạn số lệnh gọi hằng ngày cho cấp sử dụng API Tiêu chuẩn. Để biết thêm thông tin về giới hạn số lệnh gọi, hãy xem trang Thiết lập trong tài liệu dành cho nhà phát triển về Play Integrity của Google Play.
Bạn cũng có thể chọn sử dụng nhà cung cấp chứng thực tuỳ chỉnh, mặc dù đây là trường hợp sử dụng nâng cao. Để biết thêm thông tin, hãy xem bài viết Triển khai nhà cung cấp tuỳ chỉnh cho tính năng Kiểm tra ứng dụng.
-
Người dùng ứng dụng của bạn sẽ gặp phải một số độ trễ khi khởi động. Tuy nhiên, sau đó, mọi hoạt động chứng thực lại định kỳ sẽ diễn ra ở chế độ nền và người dùng sẽ không còn gặp phải độ trễ nào nữa. Độ trễ chính xác khi khởi động phụ thuộc vào nhà cung cấp chứng thực mà bạn chọn.
Thời gian có hiệu lực của mã thông báo Kiểm tra ứng dụng (thời gian tồn tại, hay TTL) xác định tần suất chứng thực lại. Bạn có thể định cấu hình khoảng thời gian này trong bảng điều khiển của Firebase. Hoạt động chứng thực lại sẽ diễn ra khi khoảng một nửa thời gian TTL đã trôi qua. Để biết thêm thông tin, hãy xem tài liệu về Firebase cho nhà cung cấp chứng thực của bạn.
Tích hợp ứng dụng của bạn với tính năng Kiểm tra ứng dụng
Điều kiện tiên quyết và yêu cầu
- Một ứng dụng đã tích hợp Places SDK phiên bản 4.1 trở lên.
- Dấu vân tay SHA-256 cho ứng dụng của bạn.
- Tên gói của ứng dụng.
- Bạn phải là chủ sở hữu của ứng dụng trong Cloud Console.
- Bạn sẽ cần mã dự án của ứng dụng trong Cloud Console
Bước 1: Thêm Firebase vào ứng dụng của bạn
Làm theo hướng dẫn trong tài liệu dành cho nhà phát triển về Firebase để thêm Firebase vào ứng dụng của bạn.
Bước 2: Thêm thư viện Kiểm tra ứng dụng và khởi chạy tính năng Kiểm tra ứng dụng
Để biết thông tin về cách sử dụng Play Integrity (nhà cung cấp chứng thực mặc định), hãy xem bài viết Bắt đầu sử dụng tính năng Kiểm tra ứng dụng bằng Play Integrity trên Android.
- Nếu bạn chưa làm như vậy, hãy tích hợp Places SDK vào ứng dụng của bạn.
Tiếp theo, hãy khởi chạy tính năng Kiểm tra ứng dụng và ứng dụng Places.
// Initialize App Check FirebaseApp.initializeApp(/* context= */ this); FirebaseAppCheck firebaseAppCheck = FirebaseAppCheck.getInstance(); firebaseAppCheck.installAppCheckProviderFactory( PlayIntegrityAppCheckProviderFactory.getInstance()); // Initialize Places SDK Places.initializeWithNewPlacesApiEnabled(context, API_KEY); PlacesClient client = Places.createClient(context);.
Bước 3: Thêm nhà cung cấp mã thông báo
Sau khi khởi chạy Places API, hãy gọi setPlacesAppCheckTokenProvider() để đặt PlacesAppCheckTokenProvider.
Places.initializeWithNewPlacesApiEnabled(context, API_KEY); Places.setPlacesAppCheckTokenProvider(new TokenProvider()); PlacesClient client = Places.createClient(context);.
Dưới đây là mẫu triển khai giao diện trình tìm nạp mã thông báo:
/** Sample client implementation of App Check token fetcher interface. */ static class TokenProvider implements PlacesAppCheckTokenProvider { @Override public ListenableFuture<String> fetchAppCheckToken() { SettableFuture<String> future = SettableFuture.create(); FirebaseAppCheck.getInstance() .getAppCheckToken(false) .addOnSuccessListener( appCheckToken -> { future.set(appCheckToken.getToken()); }) .addOnFailureListener( ex -> { future.setException(ex); }); return future; } }
Bước 4: Bật tính năng gỡ lỗi (không bắt buộc)
Nếu muốn phát triển và kiểm thử ứng dụng của mình ở chế độ cục bộ hoặc chạy ứng dụng trong môi trường tích hợp liên tục (CI), bạn có thể tạo bản dựng gỡ lỗi của ứng dụng sử dụng một bí mật gỡ lỗi để lấy mã thông báo hợp lệ của tính năng Kiểm tra ứng dụng. Điều này giúp bạn tránh sử dụng nhà cung cấp chứng thực thực trong bản gỡ lỗi.
Cách chạy ứng dụng trong trình mô phỏng hoặc trên thiết bị kiểm thử:
- Thêm thư viện Kiểm tra ứng dụng vào tệp
build.gradle. - Định cấu hình tính năng Kiểm tra ứng dụng để sử dụng nhà máy nhà cung cấp dịch vụ gỡ lỗi trong bản gỡ lỗi.
- Khởi chạy ứng dụng, ứng dụng này sẽ tạo mã thông báo gỡ lỗi cục bộ. Thêm mã thông báo này vào bảng điều khiển của Firebase.
- Để biết thêm thông tin và hướng dẫn, hãy xem tài liệu về tính năng Kiểm tra ứng dụng.
Cách chạy ứng dụng trong môi trường CI:
- Tạo mã thông báo gỡ lỗi trong bảng điều khiển của Firebase và thêm mã thông báo đó vào kho khoá bảo mật của hệ thống CI.
- Thêm thư viện Kiểm tra ứng dụng vào tệp
build.gradle. - Định cấu hình biến thể bản dựng CI để sử dụng mã thông báo gỡ lỗi.
- Gói mã trong các lớp kiểm thử cần có mã thông báo Kiểm tra ứng dụng bằng
DebugAppCheckTestHelper. - Để biết thêm thông tin và hướng dẫn, hãy xem tài liệu về tính năng Kiểm tra ứng dụng.
Bước 5: Theo dõi các yêu cầu của ứng dụng và quyết định về việc thực thi
Trước khi bắt đầu thực thi, bạn cần đảm bảo rằng mình sẽ không làm gián đoạn người dùng hợp lệ của ứng dụng. Để làm việc này, hãy truy cập vào màn hình chỉ số Kiểm tra ứng dụng để xem tỷ lệ phần trăm lưu lượng truy cập của ứng dụng được xác minh, đã lỗi thời hoặc không hợp lệ. Sau khi thấy rằng phần lớn lưu lượng truy cập của bạn đã được xác minh, bạn có thể bật chế độ thực thi.
Hãy xem tài liệu về tính năng Kiểm tra ứng dụng của Firebase để biết thêm thông tin và hướng dẫn.