本页介绍了如何使用内置的 App Attest 提供方在 Apple 应用中启用 App Check。启用 App Check 有助于确保只有您的应用可以访问项目的 Firebase 资源。请查看此功能的概览。
App Check 使用 App Attest 来验证发送到 Firebase 服务的请求是否来自真实的应用。App Check 目前不使用 App Attest 分析欺诈风险。
如果您希望将 App Check 与自己的自定义提供程序搭配使用��请参阅实现自定义 App Check 提供程序。
1. 设置您的 Firebase 项目
您需要使用 Xcode 12.5 或更高版本才能使用 App Attest。
将 Firebase 添加到您的 Apple 项目(如果尚未添加)。
在 Firebase 控制台的 App Check 部分中注册您的应用,以便将 App Check 与 App Attest 提供方搭配使用。
您通常需要注册项目的所有应用,因为在您为 Firebase 产品启用强制执行后,只有注册的应用才能访问产品的后端资源。
可选:在应用注册设置中,为提供程序颁发的 App Check 令牌设置自定义存留时间 (TTL)。您可以将 TTL 设置为 30 分钟到 7 天之间的任何值。更改此值时,请注意权衡以下几个方面:
- 安全性:较短的 TTL 可以提供更强的安全性,因为它可以缩短攻击者可能滥用已泄露或者已被拦截的令牌的时长。
- 性能:较短的 TTL 意味着您的应用将更频繁地执行证明操作。由于每次执行应用证明过程都会增加网络请求的延迟时间,因此短 TTL 可能会影响应用的性能。
- 配额和费用:较短的 TTL 和频繁的重新证明会更快地耗尽您的配额,而对于付费服务,费用可能更高。请参阅配额和限制。
对于大多数应用而言,默认的 TTL(1 小时)比较合理。请注意,App Check 库会在达到 TTL 时长约一半时刷新令牌。
2.将 App Check 库添加到您的应用
将 App Check 的依赖项添加到项目的
Podfile
中:pod 'FirebaseAppCheck'
或者,您也可以改用 Swift Package Manager。
此外,请确保您使用的其他 Firebase SDK 依赖项都是最新版本。
运行
pod install
并打开创建的.xcworkspace
文件。在 Xcode 中,将 App Attest 功能添加到您的应用中。
在项目的
.entitlements
文件中,将 App Attest 环境设置为production
。
3. 初始化 App Check
您需要先初始化 App Check,然后才能使用其他 Firebase SDK。
首先,编写 AppCheckProviderFactory
的实现。实现的具体细节取决于您的使用场景。
例如,如果您只有使用 iOS 14 及更高版本的用户,则只需始终创建 AppAttestProvider
对象即可:
Swift
注意:此 Firebase 产品不适用于 watchOS 目标系统。
class YourSimpleAppCheckProviderFactory: NSObject, AppCheckProviderFactory { func createProvider(with app: FirebaseApp) -> AppCheckProvider? { return AppAttestProvider(app: app) } }
Objective-C
注意:此 Firebase 产品不适用于 watchOS 目标。
@interface YourSimpleAppCheckProviderFactory : NSObject <FIRAppCheckProviderFactory> @end @implementation YourSimpleAppCheckProviderFactory - (nullable id<FIRAppCheckProvider>)createProviderWithApp:(nonnull FIRApp *)app { return [[FIRAppAttestProvider alloc] initWithApp:app]; } @end
或者,您也可以针对 iOS 14 及更高版本创建 AppAttestProvider
对象,并在早期版本上回退到 DeviceCheckProvider
:
Swift
注意:此 Firebase 产品不适用于 watchOS 目标系统。
class YourAppCheckProviderFactory: NSObject, AppCheckProviderFactory { func createProvider(with app: FirebaseApp) -> AppCheckProvider? { if #available(iOS 14.0, *) { return AppAttestProvider(app: app) } else { return DeviceCheckProvider(app: app) } } }
Objective-C
注意:此 Firebase 产品不适用于 watchOS 目标系统。
@interface YourAppCheckProviderFactory : NSObject <FIRAppCheckProviderFactory> @end @implementation YourAppCheckProviderFactory - (nullable id<FIRAppCheckProvider>)createProviderWithApp:(nonnull FIRApp *)app { if (@available(iOS 14.0, *)) { return [[FIRAppAttestProvider alloc] initWithApp:app]; } else { return [[FIRDeviceCheckProvider alloc] initWithApp:app]; } } @end
实现 AppCheckProviderFactory
类后,请配置 App Check 以使用该类:
Swift
注意:此 Firebase 产品不适用于 watchOS 目标系统。
let providerFactory = YourAppCheckProviderFactory() AppCheck.setAppCheckProviderFactory(providerFactory) FirebaseApp.configure()
Objective-C
注意:此 Firebase 产品不适用于 watchOS 目标系统。
YourAppCheckProviderFactory *providerFactory = [[YourAppCheckProviderFactory alloc] init]; [FIRAppCheck setAppCheckProviderFactory:providerFactory]; [FIRApp configure];
后续步骤
将 App Check 库安装到您的应用中之后,开始将更新后的应用分发给用户。
更新后的客户端应用会开始将 App Check 令牌随其发出的每个请求一起发送到 Firebase;不过,您在 Firebase 控制台的 App Check 部分中启用强制执行之前,Firebase 产品并不会要求令牌必须有效。
监控指标并启用强制执行
不过,在启用强制执行之前,您应该确保这样做不会干扰现有的合法用户。另一方面,如果您发现自己的应用资源被非法使用,建议您尽快启用强制执行。
为帮助您做出相关决策,建议您查看自己使用的服务的 App Check 指标:
- 监控 Realtime Database、Cloud Firestore、Cloud Storage 和 Authentication(Beta 版)的 App Check 请求指标。
- 监控 Cloud Functions 的 App Check 请求指标。
启用 App Check 强制执行
在了解 App Check 对用户有何影响并为后续操作做好准备之后,您便可以启用 App Check 强制执行:
- 为 Realtime Database、Cloud Firestore、Cloud Storage 和 Authentication(Beta 版)启用 App Check 强制执行。
- 为 Cloud Functions 启用 App Check 强制执行。
在调试环境中使用 App Check
为 App Check 注册应用后,如果您希望在 App Check 通常不会归类为有效提供方的环境(例如开发期间的模拟器)或持续集成 (CI) 环境中运行您的应用,可以创建应用的调试 build,该 build 使用 App Check 调试提供方,而不是真正的证明提供方。
请参阅将 App Check 与调试提供程序搭配使用(Apple 平台)。