Ochrona zasobów spoza Firebase za pomocą Sprawdzania aplikacji na Androidzie

Za pomocą Sprawdzania aplikacji możesz chronić zasoby aplikacji spoza Firebase, takie jak własne backendy. W tym celu musisz wykonać następujące czynności:

• Zmodyfikuj klienta aplikacji, aby wysyłał token Sprawdzania aplikacji wraz z każdym żądaniem do backendu, jak opisano na tej stronie.
• Zmodyfikuj backend, tak aby przy każdym żądaniu był wymagany prawidłowy token Sprawdzania aplikacji, zgodnie z opisem w sekcji Weryfikowanie tokenów Sprawdzania aplikacji z niestandardowego backendu.

Zanim zaczniesz

Dodaj do swojej aplikacji Sprawdzanie aplikacji, korzystając z domyślnego dostawcy Integrity Play lub dostawcy niestandardowego.

Wysyłaj tokeny Sprawdzania aplikacji z żądaniami backendu

Aby mieć pewność, że żądania backendu zawierają prawidłowy, ważny token Sprawdzania aplikacji, umieść każde żądanie w wywołaniu getAppCheckToken(). W razie potrzeby biblioteka Sprawdzania aplikacji odświeży token, a Ty będziesz mieć do niego dostęp w nasłuchującym powodzenia metody.

Po uzyskaniu prawidłowego tokenu wyślij go wraz z żądaniem do backendu. Szczegóły tego, jak to zrobisz, zależy od Ciebie, ale nie wysyłaj tokenów Sprawdzania aplikacji w adresach URL, w tym w parametrach zapytania, ponieważ naraża to je na przypadkowy wyciek i przechwycenie. Zalecamy wysłanie tokena w niestandardowym nagłówku HTTP.

Jeśli na przykład korzystasz z funkcji Retrofit:

class ApiWithAppCheckExample {
    interface YourExampleBackendService {
        @GET("yourExampleEndpoint")
        fun exampleData(
            @Header("X-Firebase-AppCheck") appCheckToken: String,
        ): Call<List<String>>
    }

    var yourExampleBackendService: YourExampleBackendService = Retrofit.Builder()
        .baseUrl("https://yourbackend.example.com/")
        .build()
        .create(YourExampleBackendService::class.java)

    fun callApiExample() {
        Firebase.appCheck.getAppCheckToken(false).addOnSuccessListener { appCheckToken ->
            val token = appCheckToken.token
            val apiCall = yourExampleBackendService.exampleData(token)
            // ...
        }
    }
}
ApiWithAppCheckExample.kt

public class ApiWithAppCheckExample {
    private interface YourExampleBackendService {
        @GET("yourExampleEndpoint")
        Call<List<String>> exampleData(
                @Header("X-Firebase-AppCheck") String appCheckToken);
    }

    YourExampleBackendService yourExampleBackendService = new Retrofit.Builder()
            .baseUrl("https://yourbackend.example.com/")
            .build()
            .create(YourExampleBackendService.class);

    public void callApiExample() {
        FirebaseAppCheck.getInstance()
                .getAppCheckToken(false)
                .addOnSuccessListener(new OnSuccessListener<AppCheckToken>() {
                    @Override
                    public void onSuccess(@NonNull AppCheckToken appCheckToken) {
                        String token = appCheckToken.getToken();
                        Call<List<String>> apiCall =
                                yourExampleBackendService.exampleData(token);
                        // ...
                    }
                });
    }
}
ApiWithAppCheckExample.java

Ochrona przed ponownym odtworzeniem (beta)

Gdy wysyłasz żądanie do punktu końcowego z włączoną ochroną ponownego odtwarzania, umieść je w wywołaniu getLimitedUseAppCheckToken() zamiast getAppCheckToken():

Firebase.appCheck.limitedUseAppCheckToken.addOnSuccessListener {
    // ...
}
ApiWithAppCheckExample.kt

FirebaseAppCheck.getInstance()
        .getLimitedUseAppCheckToken().addOnSuccessListener(
                new OnSuccessListener<AppCheckToken>() {
                    @Override
                    public void onSuccess(AppCheckToken appCheckToken) {
                        String token = appCheckToken.getToken();
                        // ...
                    }
                }
        );
ApiWithAppCheckExample.java