Seleziona la piattaforma: Android iOS JavaScript

Utilizzare App Check per proteggere la chiave API

Firebase App Check fornisce protezione per le chiamate dalla tua app a Google Maps Platform bloccando il traffico proveniente da origini diverse dalle app legittime. A questo scopo, controlla la presenza di un token di un provider di attestazione come App Attest. L'integrazione delle tue app con App Check aiuta a proteggerle dalle richieste dannose, in modo che non ti vengano addebitati costi per le chiamate API non autorizzate.

App Check è la soluzione giusta per me?

App Check è consigliato nella maggior parte dei casi, ma non è necessario o non è supportato nei seguenti casi:

  • Stai utilizzando l'SDK Places originale. App Check è supportato solo per Places SDK (New).
  • App private o sperimentali. Se la tua app non è accessibile pubblicamente, App Check non è necessario.
  • Se la tua app viene utilizzata solo da server a server, App Check non è necessario. Tuttavia, se il server che comunica con GMP viene utilizzato da client pubblici (ad esempio app mobile), valuta la possibilità di utilizzare App Check per proteggere il server anziché GMP.
  • I provider di attestazione consigliati da App Check non funzionano sui dispositivi considerati compromessi o non attendibili dal provider di attestazione. Se devi supportare questi dispositivi, puoi eseguire il deployment di un servizio di attestazione personalizzato. Per saperne di più, consulta le istruzioni.

Panoramica dei passaggi di implementazione

In linea generale, ecco i passaggi da seguire per integrare la tua app con App Check:

  1. Aggiungi Firebase alla tua app.
  2. Aggiungi e inizializza la libreria App Check.
  3. Aggiungi il provider di token alla tua app.
  4. Inizializza le API Places e App Check.
  5. Abilita il debug.
  6. Monitora le richieste dell'app e decidi se applicare App Check.

Una volta completata l'integrazione con App Check, potrai visualizzare le metriche del traffico di backend nella Console Firebase. Queste metriche forniscono una suddivisione delle richieste in base alla presenza o meno di un token App Check valido. Per saperne di più, consulta la documentazione di Firebase App Check.

Quando hai la certezza che la maggior parte delle richieste provenga da origini legittime e che gli utenti abbiano aggiornato l'app all'ultima versione che include l'implementazione di App Check, puoi attivare l'applicazione. Una volta attivata l'applicazione, App Check rifiuterà tutto il traffico senza un token App Check valido.

Considerazioni sulla pianificazione di un'integrazione di App Check

Ecco alcuni aspetti da considerare durante la pianificazione dell'integrazione:

  • I provider di attestazione che consigliamo, Device Check o App Attest, sono soggetti a quote e limitazioni stabilite da Apple.

    Puoi scegliere di utilizzare un provider di attestazione personalizzato, anche se si tratta di un caso d'uso avanzato. Per saperne di più, consulta la documentazione di Firebase App Check.

  • Gli utenti della tua app riscontreranno una certa latenza all'avvio. Tuttavia, in seguito, qualsiasi ri-attestazione periodica verrà eseguita in background e gli utenti non dovrebbero più riscontrare alcuna latenza. La quantità esatta di latenza all'avvio dipende dal provider di attestazione scelto.

    La durata di validità del token App Check (la durata o TTL) determina la frequenza delle ri-attestazioni. Questa durata può essere configurata nella Console Firebase. La ri-attestazione si verifica quando è trascorso circa metà del TTL. Per saperne di più, consulta la documentazione di Firebase per il tuo provider di attestazione.

Integrare l'app con App Check

Prerequisiti e requisiti

  • Un'app con Places SDK versione 9.2 o successive installata.
  • L'ID pacchetto dell'app.
  • Il tuo ID team dal Member Center (Centro membri) di Apple, in Membership (Appartenenza).
  • Se prevedi di utilizzare Device Check, il file della chiave privata e l'ID chiave.
  • Devi essere il proprietario dell'app nella console Cloud.
  • Avrai bisogno dell'ID progetto dell'app dalla console Cloud.

Passaggio 1: aggiungi Firebase alla tua app

Segui le istruzioni nella documentazione per gli sviluppatori di Firebase per aggiungere Firebase alla tua app.

Quando registri l'app, ricevi un file di configurazione, GoogleService-Info.plist. Aggiungi questo file, senza modifiche, al livello root dell'app.

Places Swift SDK for iOS

import FirebaseCore
import FirebaseAppCheck
import GooglePlacesSwift

Swift

import FirebaseCore
import FirebaseAppCheck
import GooglePlaces

Objective-C

@import FirebaseCore;      
@import FirebaseAppCheck;
@import GooglePlaces;

Passaggio 2: aggiungi la libreria App Check e inizializza App Check

Firebase fornisce istruzioni per ogni provider di attestazione predefinito. Queste istruzioni mostrano come configurare un progetto Firebase e aggiungere la libreria App Check alla tua app. Segui gli esempi di codice forniti per inizializzare App Check.

  1. Segui le istruzioni di Firebase per aggiungere la libreria App Check:
  2. Inizializza App Check.
    • Se utilizzi App Attest, segui la documentazione per gli sviluppatori di Firebase per App Attest..

      Segui le istruzioni di Firebase App Check per creare un'implementazione di AppCheckProviderFactory e aggiungerla al file AppDelegate.

      Places Swift SDK for iOS

      let providerFactory = YourAppCheckProviderFactory()
AppCheck.setAppCheckProviderFactory(providerFactory)

      Swift

      let providerFactory = YourAppCheckProviderFactory()
AppCheck.setAppCheckProviderFactory(providerFactory)

      Objective-C

      YourAppCheckProviderFactory *providerFactory =
    [[YourAppCheckProviderFactory alloc] init];
[FIRAppCheck setAppCheckProviderFactory:providerFactory];
    • Se utilizzi Device Check, aggiungi quanto segue a AppDelegate:

      Places Swift SDK for iOS

      AppCheck.setAppCheckProviderFactory(DeviceCheckProviderFactory())

      Swift

      AppCheck.setAppCheckProviderFactory(DeviceCheckProviderFactory())

      Objective-C

      [FIRAppCheck setAppCheckProviderFactory:providerFactory];

Passaggio 3: aggiungi il provider di token

Crea un file denominato AppCheckTokenProvider (o, se utilizzi Objective-C, due file denominati AppCheckTokenProvider.h e AppCheckTokenProvider.m) al livello root dell'app. Aggiungi le seguenti istruzioni di importazione e la definizione della classe:

Places Swift SDK for iOS

// AppCheckTokenProvider.swift

import FirebaseAppCheck
import Foundation
import GooglePlacesSwift
      
struct TokenProvider: AppCheckTokenProvider {
  func fetchAppCheckToken() async throws -> String {
    return try await AppCheck.appCheck().token(forcingRefresh: false).token
  }
}

Swift

// AppCheckTokenProvider.swift

import FirebaseAppCheck
import Foundation
import GooglePlaces

class AppCheckTokenProvider: NSObject, GMSPlacesAppCheckTokenProvider {
  func fetchAppCheckToken() async throws -> String {
    return try await AppCheck.appCheck().token(forcingRefresh: false).token
  }
}

Objective-C

// AppCheckTokenProvider.h

@import Foundation;
@import GooglePlaces;

@interface AppCheckTokenProvider : NSObject <GMSPlacesAppCheckTokenProvider>
@end

// AppCheckTokenProvider.m

#import "AppCheckTokenProvider.h"

@import FirebaseAppCheck;

@implementation AppCheckTokenProvider

- (void)fetchAppCheckTokenWithCompletion:(nonnull GMSAppCheckTokenCompletion)completion {
  [[FIRAppCheck appCheck]
      tokenForcingRefresh:NO
               completion:^(FIRAppCheckToken *_Nullable token, NSError *_Nullable error) {
                 if (token) {
                   completion(token.token, nil);
                 } else {
                   completion(nil, error);
                 }
               }];
}

@end

Passaggio 4: inizializza le API Places e App Check

  1. Nel file AppDelegate, inizializza l'API Places:

    Places Swift SDK for iOS

    PlacesClient.provideAPIKey("YOUR_API_KEY")

    Swift

    GMSPlacesClient.provideAPIKey("YOUR_API_KEY")

    Objective-C

    [GMSPlacesClient provideAPIKey:@"YOUR_API_KEY"];
  2. Poi, inizializza l'API App Check:

    Places Swift SDK for iOS

    PlacesClient.setAppCheckTokenProvider(AppCheckTokenProvider())

    Swift

    GMSPlacesClient.setAppCheckTokenProvider(AppCheckTokenProvider())

    Objective-C

    [GMSPlacesClient setAppCheckTokenProvider:[[AppCheckTokenProvider alloc] init]];

Passaggio 5: abilita il debug (facoltativo)

Se vuoi sviluppare e testare l'app localmente o eseguirla in un ambiente di integrazione continua (CI), puoi creare una build di debug dell'app che utilizza un segreto di debug per ottenere token App Check validi. In questo modo, puoi evitare di utilizzare provider di attestazione reali nella build di debug.

Per testare l'app in Simulator o su un dispositivo di test:

  • Crea e imposta la factory del provider di debug di App Check.

    Questo esempio di codice gestisce sia gli scenari di debug sia quelli di produzione:

    Places Swift SDK for iOS

    #if targetEnvironment(simulator)
      let providerFactory = AppCheckDebugProviderFactory()
#else
      let providerFactory = YourAppCheckProviderFactory()
#endif

    Swift

    #if targetEnvironment(simulator)
      let providerFactory = AppCheckDebugProviderFactory()
#else
      let providerFactory = YourAppCheckProviderFactory()
#endif

    Objective-C

    if (targetEnvironment == simulator){

FIRAppCheckDebugProviderFactory *providerFactory =
      [[FIRAppCheckDebugProviderFactory alloc] init];
[FIRAppCheck setAppCheckProviderFactory:providerFactory];
}

else {

YourAppCheckProviderFactory *providerFactory =
      [[YourAppCheckProviderFactory alloc] init];
[FIRAppCheck setAppCheckProviderFactory:providerFactory];
}
  • Abilita la registrazione nel progetto Xcode, avvia l'app e trova il token di debug locale nel log.
  • Aggiungi questo token alla Console Firebase.
  • Per ulteriori informazioni e istruzioni, consulta la documentazione di App Check.

Per eseguire l'app in un ambiente CI:

  • Crea un token di debug nella Console Firebase e aggiungilo all'archivio chiavi sicuro del sistema CI.
  • In Xcode, aggiungi una variabile di ambiente allo schema di test con il nome FIRAAppCheckDebugToken e $(APP_CHECK_DEBUG_TOKEN) (o simile) come valore.
  • Nello script per il test CI, trasmetti il token di debug come ambiente.

  • Crea e imposta la factory del provider di debug di App Check.

    Questo esempio di codice gestisce sia gli scenari di debug sia quelli di produzione:

    Places Swift SDK for iOS

    #if DEBUG
  let providerFactory = AppCheckDebugProviderFactory()
#else
  let providerFactory = YourAppCheckProviderFactory()
#endif
AppCheck.setAppCheckProviderFactory(providerFactory)

    Swift

    #if DEBUG
  let providerFactory = AppCheckDebugProviderFactory()
#else
  let providerFactory = YourAppCheckProviderFactory()
#endif
AppCheck.setAppCheckProviderFactory(providerFactory)

    Objective-C

    #if DEBUG
id<FIRAppCheckProviderFactory> providerFactory =
    [[FIRAppCheckDebugProviderFactory alloc] init];
#else  // DEBUG
id<FIRAppCheckProviderFactory> providerFactory =
    [[YourAppCheckProviderFactory alloc] init];
#endif  // DEBUG
AppCheck.setAppCheckProviderFactory(providerFactory)
  • Per ulteriori informazioni e istruzioni, consulta la documentazione di App Check.

Passaggio 6: monitora le richieste dell'app e decidi se applicare App Check

Prima di iniziare l'applicazione, devi assicurarti di non interrompere l'utilizzo dell'app da parte degli utenti legittimi. Per farlo, vai alla schermata delle metriche di App Check per vedere la percentuale di traffico dell'app verificato, obsoleto o illegittimo. Quando vedi che la maggior parte del traffico è verificata, puoi abilitare l'applicazione.

Per ulteriori informazioni e istruzioni, consulta la documentazione di Firebase App Check.