Tính năng Kiểm tra ứng dụng của Firebase giúp bảo vệ các lệnh gọi từ ứng dụng của bạn đến Google Maps Platform bằng cách chặn lưu lượng truy cập đến từ các nguồn không phải là ứng dụng hợp lệ. Ứng dụng thực hiện việc này bằng cách kiểm tra mã thông báo từ một trình cung cấp chứng thực như Tính toàn vẹn của Play. Việc tích hợp ứng dụng của bạn với tính năng Kiểm tra ứng dụng giúp bảo vệ khỏi các yêu cầu độc hại, nhờ đó bạn không bị tính phí cho các lệnh gọi API trái phép.
Tính năng Kiểm tra ứng dụng có phù hợp với tôi không?
Bạn nên dùng App Check trong hầu hết các trường hợp. Tuy nhiên, bạn không cần dùng App Check hoặc App Check không được hỗ trợ trong các trường hợp sau:
Bạn đang sử dụng Places SDK ban đầu. App Check chỉ được hỗ trợ cho Places SDK (Mới).
Ứng dụng riêng tư hoặc ứng dụng thử nghiệm. Nếu ứng dụng của bạn không truy cập được công khai, thì bạn không cần App Check.
Nếu ứng dụng của bạn chỉ được dùng cho máy chủ với máy chủ, thì bạn không cần App Check. Tuy nhiên, nếu máy chủ giao tiếp với GMP được dùng bởi các ứng dụng công khai (chẳng hạn như ứng dụng di động), hãy cân nhắc sử dụng App Check để bảo vệ máy chủ đó thay vì GMP.
Các nhà cung cấp chứng thực được App Check đề xuất sẽ không hoạt động trên những thiết bị mà nhà cung cấp chứng thực của bạn cho là bị xâm nhập hoặc không đáng tin cậy. Nếu cần hỗ trợ những thiết bị như vậy, bạn có thể triển khai một dịch vụ chứng thực tuỳ chỉnh. Để biết thêm thông tin, hãy xem hướng dẫn.
Tổng quan về các bước triển khai
Nhìn chung, đây là các bước bạn sẽ thực hiện để tích hợp ứng dụng của mình với App Check:
Thêm Firebase vào ứng dụng của bạn.
Thêm và khởi chạy thư viện Kiểm tra ứng dụng.
Thêm nhà cung cấp mã thông báo.
Bật tính năng gỡ lỗi.
Giám sát các yêu cầu của ứng dụng và quyết định về việc thực thi.
Sau khi tích hợp với tính năng Kiểm tra ứng dụng, bạn sẽ có thể xem các chỉ số lưu lượng truy cập phụ trợ trên bảng điều khiển của Firebase. Các chỉ số này cung cấp thông tin chi tiết về các yêu cầu theo việc yêu cầu đó có đi kèm với mã thông báo App Check hợp lệ hay không. Hãy xem tài liệu về tính năng Kiểm tra ứng dụng của Firebase để biết thêm thông tin.
Khi chắc chắn rằng hầu hết các yêu cầu đều đến từ các nguồn hợp lệ và người dùng đã cập nhật lên phiên bản mới nhất của ứng dụng (có bao gồm việc triển khai App Check), bạn có thể bật chế độ thực thi. Sau khi bạn bật chế độ thực thi, App Check sẽ từ chối tất cả lưu lượng truy cập không có mã thông báo App Check hợp lệ.
Những điều cần cân nhắc khi lên kế hoạch tích hợp App Check
Sau đây là một số điều cần cân nhắc khi bạn lên kế hoạch tích hợp:
Nhà cung cấp chứng thực mà chúng tôi đề xuất là Tính toàn vẹn của Play. Nhà cung cấp này có giới hạn số lần gọi hằng ngày cho cấp sử dụng API Chuẩn.
Để biết thêm thông tin về hạn mức gọi, hãy xem trang Thiết lập trong tài liệu dành cho nhà phát triển của API Tính toàn vẹn của Google Play.
Bạn cũng có thể chọn sử dụng một trình cung cấp chứng thực tuỳ chỉnh, mặc dù đây là một trường hợp sử dụng nâng cao. Để biết thêm thông tin, hãy xem bài viết Triển khai trình cung cấp App Check tuỳ chỉnh.
Người dùng ứng dụng của bạn sẽ gặp phải một số độ trễ khi khởi động. Tuy nhiên, sau đó, mọi quy trình chứng thực lại định kỳ sẽ diễn ra trong nền và người dùng sẽ không còn gặp phải bất kỳ độ trễ nào nữa. Độ trễ chính xác khi khởi động phụ thuộc vào nhà cung cấp chứng thực mà bạn chọn.
Khoảng thời gian mà mã thông báo App Check có hiệu lực (thời gian tồn tại hoặc TTL) xác định tần suất chứng thực lại. Bạn có thể định cấu hình khoảng thời gian này trong bảng điều khiển của Firebase. Quy trình chứng thực lại xảy ra khi khoảng một nửa thời gian TTL đã trôi qua. Để biết thêm thông tin, hãy xem tài liệu của Firebase cho trình chứng thực của bạn.
Tích hợp ứng dụng của bạn với App Check
Điều kiện tiên quyết và yêu cầu
Một ứng dụng đã tích hợp Places SDK phiên bản 4.1 trở lên.
Vân tay SHA-256 cho ứng dụng của bạn.
Tên gói của ứng dụng.
Bạn phải là chủ sở hữu của ứng dụng trong Bảng điều khiển Google Cloud.
Bạn sẽ cần mã dự án của ứng dụng trong Cloud Console
Nếu muốn phát triển và kiểm thử ứng dụng cục bộ hoặc chạy ứng dụng trong môi trường tích hợp liên tục (CI), bạn có thể tạo một bản gỡ lỗi của ứng dụng sử dụng một khoá bí mật gỡ lỗi để lấy mã thông báo App Check hợp lệ. Điều này giúp bạn tránh sử dụng trình cung cấp chứng thực thực trong bản gỡ lỗi.
Cách chạy ứng dụng trong trình mô phỏng hoặc trên thiết bị kiểm thử:
Thêm thư viện Kiểm tra ứng dụng vào tệp build.gradle.
Định cấu hình tính năng Kiểm tra ứng dụng để sử dụng nhà máy nhà cung cấp gỡ lỗi trong bản gỡ lỗi.
Khởi chạy ứng dụng. Thao tác này sẽ tạo một mã gỡ lỗi cục bộ. Thêm mã thông báo này vào bảng điều khiển của Firebase.
Bước 5: Giám sát các yêu cầu của ứng dụng và quyết định thực thi
Trước khi bắt đầu thực thi, bạn cần đảm bảo rằng bạn sẽ không làm gián đoạn người dùng hợp pháp của ứng dụng. Để làm việc này, hãy truy cập vào màn hình chỉ số App Check để xem tỷ lệ phần trăm lưu lượng truy cập của ứng dụng được xác minh, đã lỗi thời hoặc không hợp pháp. Sau khi thấy rằng phần lớn lưu lượng truy cập của bạn đã được xác minh, bạn có thể bật chế độ thực thi.
[[["Dễ hiểu","easyToUnderstand","thumb-up"],["Giúp tôi giải quyết được vấn đề","solvedMyProblem","thumb-up"],["Khác","otherUp","thumb-up"]],[["Thiếu thông tin tôi cần","missingTheInformationINeed","thumb-down"],["Quá phức tạp/quá nhiều bước","tooComplicatedTooManySteps","thumb-down"],["Đã lỗi thời","outOfDate","thumb-down"],["Vấn đề về bản dịch","translationIssue","thumb-down"],["Vấn đề về mẫu/mã","samplesCodeIssue","thumb-down"],["Khác","otherDown","thumb-down"]],["Cập nhật lần gần đây nhất: 2025-09-04 UTC."],[[["\u003cp\u003eFirebase App Check protects your Google Maps Platform API key by verifying requests and blocking unauthorized traffic.\u003c/p\u003e\n"],["\u003cp\u003eApp Check is recommended for most apps using Places SDK (New) but is not needed for server-to-server apps, private apps, or those using the original Places SDK.\u003c/p\u003e\n"],["\u003cp\u003eIntegrating App Check involves adding Firebase, initializing the library and a token provider, enabling debugging (optional), and monitoring requests before enforcing token validation.\u003c/p\u003e\n"],["\u003cp\u003ePlay Integrity is the recommended attestation provider; consider daily call limits and latency during initial token fetch.\u003c/p\u003e\n"],["\u003cp\u003eBefore enforcing App Check, ensure most requests are verified using the Firebase console metrics and ensure web service calls in your cloud project use OAuth.\u003c/p\u003e\n"]]],["App Check protects Google Maps Platform API keys by verifying requests originate from legitimate apps. Implementation involves: adding Firebase and the App Check library, initializing App Check, adding a token provider, optionally enabling debugging for testing, and monitoring app request metrics before enabling enforcement. App Check is not needed for the original Places SDK, private apps, or server-to-server communication. Play Integrity is the recommended attestation provider. Enforcement blocks requests without valid tokens.\n"],null,["Select platform: [Android](/maps/documentation/places/android-sdk/app-check \"View this page for the Android platform docs.\") [iOS](/maps/documentation/places/ios-sdk/app-check \"View this page for the iOS platform docs.\") [JavaScript](/maps/documentation/javascript/maps-app-check \"View this page for the JavaScript platform docs.\")\n\n\u003cbr /\u003e\n\nUse App Check to secure your API key\n====================================\n\n\n[Firebase App Check](https://firebase.google.com/docs/app-check) provides protection for calls from your app to Google Maps Platform by blocking traffic that comes from sources other than legitimate apps. It does this by checking for a token from an attestation provider like [Play Integrity](https://developer.android.com/google/play/integrity). Integrating your apps with App Check helps to protect against malicious requests, so you're not charged for unauthorized API calls.\n\nIs App Check right for me?\n--------------------------\n\n\nApp Check is recommended in most cases, however App Check is not needed or is not supported in the following cases:\n\n- You are using the original Places SDK. **App Check is only supported for Places SDK (New)**.\n- Private or experimental apps. If your app is not publicly accessible, App Check is not needed.\n- If your app is only used server-to-server, App Check is not needed. However, if the server that communicates with GMP is used by public clients (such as mobile apps), consider [using App Check to protect that server](https://firebase.google.com/docs/app-check/custom-resource-backend) instead of GMP.\n- App Check's recommended attestation providers won't work on devices deemed compromised or untrustworthy by your attestation provider. If you need to support such devices, you can deploy a custom attestation service. For more information, see the [instructions](https://firebase.google.com/docs/app-check/android/custom-resource).\n\nOverview of implementation steps\n--------------------------------\n\nAt a high level, these are the steps you'll follow to integrate your app with App Check:\n\n1. Add Firebase to your app.\n2. Add and initialize the App Check library.\n3. Add the token provider.\n4. Enable debugging.\n5. Monitor your app requests and decide on enforcement.\n\n\nOnce you've integrated with App Check, you'll be able to see backend traffic metrics on the Firebase console. These metrics provide breakdown of requests by whether they are accompanied by a valid App Check token. See the [Firebase App Check documentation](https://firebase.google.com/docs/app-check/monitor-metrics) for more information.\n\n\nWhen you're sure that most requests are from legitimate sources and that users have updated to the latest version of your app that includes your implementation of App Check, you can turn on enforcement. Once enforcement is on, App Check will reject all traffic without a valid App Check token.\n| **Note:** App check enforcement is not turned on by default.\n\nConsiderations when planning an App Check integration\n-----------------------------------------------------\n\n\nHere are some things to consider as you plan your integration:\n\n- The attestation provider we recommend, [Play Integrity](https://developer.android.com/google/play/integrity), has a daily call limit for its Standard API usage tier.\n For more information about call limits, see the [Setup](https://developer.android.com/google/play/integrity/setup#increase-daily) page in the Google Play Integrity developer documentation.\n\n You can also choose to use a custom attestation provider, though this is an advanced use case. For more information, see [Implement a custom App Check provider](https://firebase.google.com/docs/app-check/custom-provider).\n- Users of your app will experience some latency on startup. However, afterwards, any periodic re-attestation will occur in the background and users should no longer experience any latency. The exact amount of latency at startup depends on the attestation provider you choose.\n\n The amount of time that the App Check token is valid (the *time to live* , or TTL) determines the frequency of re-attestations. This duration can be configured in the Firebase console. Re-attestation occurs when approximately halkf of the TTL has elapsed. For more information, see the [Firebase docs](https://firebase.google.com/docs/app-check#get_started) for your attestation provider.\n\nIntegrate your app with App Check\n---------------------------------\n\n| Note: Get help faster! For support regarding the Firebase-related portions of this process, see [Firebase support](https://firebase.google.com/support). For support regarding the Google Places SDK for Android, see [Google Maps Platform support](/maps/support).\n\n### Prerequisites and requirements\n\n- An app with the version 4.1 or later Places SDK integrated.\n- The SHA-256 fingerprint for your app.\n- Your app's package name.\n- You must be the owner of the app in Cloud Console.\n- You will need the app's project ID from the Cloud Console\n\n### Step 1: Add Firebase to your app\n\n\nFollow [the instructions in the Firebase developer documentation](https://firebase.google.com/docs/android/setup) to add Firebase to your app.\n\n### Step 2: Add the App Check library and initialize App Check\n\nFor information on using Play Integrity, the default attestation provider, see [Get started using App Check with Play Integrity on Android](https://firebase.google.com/docs/app-check/android/play-integrity-provider).\n\n1. If you haven't already, [integrate the Places SDK into your app](/maps/documentation/places/android-sdk/config#places-sdk-for-android).\n2. Next, initialize [App Check](https://firebase.google.com/docs/app-check/android/play-integrity-provider#initialize) and the [Places client](/maps/documentation/places/android-sdk/config#connect-client).\n\n ```java\n // Initialize App Check\n FirebaseApp.initializeApp(/* context= */ this);\n FirebaseAppCheck firebaseAppCheck = FirebaseAppCheck.getInstance();\n firebaseAppCheck.installAppCheckProviderFactory(\n PlayIntegrityAppCheckProviderFactory.getInstance());\n \n // Initialize Places SDK\n Places.initializeWithNewPlacesApiEnabled(context, API_KEY);\n PlacesClient client = Places.createClient(context);.\n ```\n\n### Step 3: Add the token provider\n\n\nAfter initializing the Places API, call `setPlacesAppCheckTokenProvider()` to set the `PlacesAppCheckTokenProvider`. \n\n```java\nPlaces.initializeWithNewPlacesApiEnabled(context, API_KEY);\nPlaces.setPlacesAppCheckTokenProvider(new TokenProvider());\nPlacesClient client = Places.createClient(context);.\n```\n\n\nHere is a sample implementation of the token fetcher interface: \n\n```java\n /** Sample client implementation of App Check token fetcher interface. */\n static class TokenProvider implements PlacesAppCheckTokenProvider {\n @Override\n public ListenableFuture\u003cString\u003e fetchAppCheckToken() {\n SettableFuture\u003cString\u003e future = SettableFuture.create();\n FirebaseAppCheck.getInstance()\n .getAppCheckToken(false)\n .addOnSuccessListener(\n appCheckToken -\u003e {\n future.set(appCheckToken.getToken());\n })\n .addOnFailureListener(\n ex -\u003e {\n future.setException(ex);\n });\n\n return future;\n }\n }\n```\n\n### Step 4: Enable debugging (optional)\n\nIf you'd like to develop and test your app locally, or run it in a continuous integration (CI) environment, you can create a debug build of your app that uses a debug secret to obtain valid App Check tokens. This lets you avoid using real attestation providers in your debug build.\n\nTo run your app in an emulator or on a test device:\n\n- Add the App Check library to your `build.gradle` file.\n- Configure App Check to use the debug provider factory in your debug build.\n- Launch the app, which will create a local debug token. Add this token to the Firebase console.\n- For more information and instructions, see the [App Check documentation](https://firebase.google.com/docs/app-check/android/debug-provider#emulator).\n\n\nTo run your app in a CI environment:\n\n- Create a debug token in the Firebase console and add it to your CI system's secure key store.\n- Add the App Check library to your `build.gradle` file.\n- Configure your CI build variant to use the debug token.\n- Wrap code in your test classes that needs an App Check toke with `DebugAppCheckTestHelper`.\n- For more information and instructions, see the [App Check documentation](https://firebase.google.com/docs/app-check/android/debug-provider#ci).\n\n### Step 5: Monitor your app requests and decide on enforcement\n\n\nBefore you begin enforcement, you'll want to make sure that you won't disrupt legitimate users of your app. To do this, visit the App Check metrics screen to see what percentage of your app's traffic is verified, outdated, or illegitimate. Once you see that the majority of your traffic is verified, you can enable enforcement.\n\n\nSee the [Firebase App Check documentation](https://firebase.google.com/docs/app-check/monitor-metrics) for more information and instructions.\n| Before you enforce App Check, make sure any Web Service calls in your Cloud project use [OAuth](/maps/documentation/places/web-service/oauth-token)."]]
