如何保护 Google 的 Api Key

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

这是一个创建于 2297 天前的主题，其中的信息可能已经有所发展或是发生改变。

在做一个产品的时候，需要在客户端调用 Google 的 Api 功能。在 console.cloud.google.com 创建了项目后，下载了 json 格式的 Key。这个 Key 放在了客户端。有什么办法可以保护这个 Key，在发布版本后，不被其他人拿到 Key 去任意调用呢？因为 Google 的 Api 都是收费的。

2 条回复 • 2018-02-05 01:27:46 +08:00

honeycomb

2018-02-04 21:08:02 +08:00 via Android

官方提供的手段是可以要求提供 referer，限制 IP 段，限制应用等

一些其它的办法，不一定适用：

ubiquiti 的 unifi controller 有关 Google maps API 的功能要求用户自行提供 API key。
这个自然是万无一失的。

国内的好多给手机应用的 API 要求提供应用自身的签名，也是一个好办法。

nciyuan

2018-02-05 01:27:46 +08:00 via Android

如果是国内的话，自己搞个 proxy，然后让所有流量过一次你们的服务器？