使用 Firebase App Check 防止 Gemini API 滥用

如果您直接从移动应用或 Web 应用调用 API（例如，允许访问生成式 AI 模型的 API），则该 API 很容易被未经授权的客户端滥用。为帮助保护这些 API 免遭滥用，您可以使用 Firebase App Check来验证所有传入的 API 调用 是否来自您的实际应用和未经篡改的设备。

Firebase AI Logic 提供了一个代理网关，让您可以与 Firebase App Check 集成，并保护您的 移动应用和 Web 应用调用的生成式 AI 模型 API。将 App Check 与 Firebase AI Logic SDK 搭配使用支持我们的所有配置：

• 保护“Gemini API”提供方：Gemini Developer API 和 Vertex AI Gemini API。

• 保护所有受支持的模型，包括 Gemini 模型和 Imagen 模型。

为了帮助保护您的应用免遭 API 滥用，您 必须尽早强制执行 Firebase App Check（例如，在您将应用提交到公开提供的源代码 控制系统、共享应用或公开提供应用之前）。

App Check 还支持 重放攻击防范，这意味着 App Check 令牌只能使用一次。

工作原理简要概览App Check

使用 App Check 时，运行您的应用的设备会使用应用或设备证明 提供方，验证以下一项或两项：

• 请求来自您的正版应用
• 请求来自真实的、未经篡改的设备

此证明会附加到您的应用使用 Firebase AI Logic SDK 发出的每个请求。启用 App Check 强制执行后，来自没有有效证明的客户端的请求将被拒绝，来自未经您授权的应用或平台的请求也将被拒绝。

设置 App Check 时，请考虑添加 重放攻击防范，这会使 App Check 令牌 只能使用一次。此选项提供的保护功能比基准保护功能更强大，让您可以为应用和用例设置适当的保护级别。

您可以在 文档中找到有关 App Check 的 详细信息，包括其 配额和限制。

设置 App Check

App Check 文档详细介绍了证明 提供方，并提供了详细的实现说明。

1. 选择默认证明提供方，然后按照以下链接中的实现说明进行操作：

   • Apple 平台： DeviceCheck 或 App Attest
   • Android： Play Integrity
   • Web： reCAPTCHA Enterprise
   • Flutter：支持 上述所有默认提供方
     如果您使用的是旧版插件，请参阅下文关于 特殊实例化的说明。 适用于 Flutter 和 App Check。
   • Unity：支持 上述所有默认提供方

   请注意，如果没有任何默认证明提供方能够满足 您的需求，您可以 实现自定义提供方，从而使用 第三方证明提供方或您自己的证明 方法。

2. （必需） 启用 App Check 强制执行 在您将应用提交到公开提供的源代码控制 系统、共享应用或公开提供应用之前。

3. （推荐） 通过添加 重放攻击防范来增强保护， 这意味着 App Check 令牌只能使用一次。

如果使用旧版插件，则需要为 Flutter 进行特殊实例化

点击您的 Gemini API 提供方，以查看此页面上特定于提供方的内容 和代码。 Gemini Developer API Vertex AI Gemini API

仅当您的应用使用 Flutter 插件 firebase_ai v3.11.0 或更低版本（BoM v4.12.0 或更低版本）时，才需要进行此特殊实例化。如果您的应用使用的是较新版本的插件，则无需进行此特殊实例化。

注意 ：Firebase 建议使用 最新版本的 SDK、插件和工具 ，以便您可以使用最新功能、bug 修复等。

如果您启用 App Check 强制执行，则在使用旧版 插件的 Flutter 应用中，您需要在实例化期间显式传入 App Check，如下所示：

// ...

// During instantiation, enable usage of limited-use tokens
final ai = await FirebaseAI.googleAI(
  // For Flutter plugin v3.11.0 or lower (BoM v4.12.0 or lower), pass in App Check explicitly.
  appCheck: FirebaseAppCheck.instance,
  useLimitedUseAppCheckTokens: true,
);

// ...

通过添加重放攻击防范来增强保护

我们建议您使用最新版本的 SDK，但 请确保您至少使用以下版本之一来使用 重放攻击防范： Apple 平台 v12.2.0+ | Android BoM v34.14.0+ (App Check v19.1.0+) | Web v12.14.0+ | Flutter v4.15.0+ (App Check v4.10.0+) | Unity v13.12.0+

默认情况下，App Check 使用 会话令牌，其 存留时间 (TTL) 可配置，介于 30 分钟到 7 天之间。 这些会话令牌由 App Check SDK 缓存，随 应用发出的请求一起发送，并且可以重复使用，直到其 TTL 过期。使用会话令牌被视为 基准保护 。

不过，您可以通过强制执行 重放攻击防范来增强保护，使其超出此基准保护，而重放攻击防范会改用限次使用令牌。强制执行重放攻击防范时，会发生以下情况：

• App Check 将阻止使用 会话令牌向 Firebase AI Logic 发出的请求。相反，App Check 仅在请求使用 新生成的限次使用令牌 时，才允许 该请求发送到 Firebase AI Logic。

• 验证限次使用令牌后，该令牌将被消耗掉，因此只能使用一次，从而防止重放攻击。

• App Check SDK 会为 每个 请求生成一个新的限次使用令牌。 请注意，此过程可能会增加一些延迟，有时还会产生费用（具体取决于您的证明提供方），从而影响您的请求。

设置和强制执行重放攻击防范

点击您的 Gemini API 提供方，以查看此页面上特定于提供方的内容 和代码。 Gemini Developer API Vertex AI Gemini API

下面介绍了如何设置和强制执行重放攻击防范：

1. 如果尚未实现 ，请先实现 App Check，然后 启用 App Check 强制执行 为您的应用。

2. 启用限次使用令牌的使用。

   在实例化期间，在您的应用中将 useLimitedUseAppCheckTokens 参数设置为 true：

   Swift

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   let ai = FirebaseAI.firebaseAI(
     backend: .googleAI(),
     useLimitedUseAppCheckTokens: true
   )
   
   // ...
   
   

   Kotlin

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   val ai = Firebase.ai(
     backend = GenerativeBackend.googleAI(),
     useLimitedUseAppCheckTokens = true
   )
   
   // ...
   
   

   Java

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   FirebaseAI ai = FirebaseAI.getInstance(
     /* backend: */ GenerativeBackend.googleAI(),
     /* useLimitedUseAppCheckTokens: */ true
   );
   
   // ...
   
   

   Web

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   const ai = getAI(firebaseApp, {
     backend: new GoogleAIBackend(),
     useLimitedUseAppCheckTokens: true
   });
   
   // ...
   
   

   Dart

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   final ai = await FirebaseAI.googleAI(
     useLimitedUseAppCheckTokens: true,
   );
   
   // ...
   
   

   Unity

   // ...
   
   // During instantiation, enable usage of limited-use tokens
   var ai = FirebaseAI.GetInstance(
     useLimitedUseAppCheckTokens: true
   );
   
   // ...
   

   注意：请考虑将限次使用令牌设置为 参数，以便您可以远程控制其设置 ，而不是将其硬编码到应用中。详细了解如何 使用。
   Firebase Remote ConfigRemote Config

3. 强制执行重放攻击防范。

   1. 在应用的代码库中，确保您已启用限次使用令牌的使用（请参阅上一步）。

   2. 在 Firebase 控制台中，依次前往 安全性 > App Check。

   3. 展开 Firebase AI Logic 的指标视图。

   4. 确保 基准保护 为已强制执行 ，然后点击 继续 。

   5. 对于重放攻击防范，请选择未强制执行（仅监控） 或已强制执行 。

      请考虑以下事项，以确定何时强制执行重放攻击防范：

      • 如果大量用户可能使用的是未启用限次使用令牌的旧版应用，建议您监控请求。如果您立即强制执行重放攻击防范，来自这些用户的请求将被阻止。

      • 您可以专门监控未验证：重复使用的令牌 指标，该指标是指具有已在之前的请求中使用过的令牌的请求数。在 Firebase控制台中监控此指标（依次前往安全性 > App Check > API标签页）。

        如果近期请求中有很大一部分属于此类，您可以避免干扰用户，并考虑等待更多用户更新到使用限次使用令牌的应用版本后，再强制执行重放攻击防范。

注意：如果您 仅启用限次使用令牌的使用，并且 不强制执行重放攻击防范，请注意以下事项：

• 限次使用令牌的 TTL 仅为 5 分钟，并且 TTL 不可调整（与会话令牌不同）。如果未强制执行重放攻击防范，限次使用令牌与会话令牌类似，可以重复使用，直到其 TTL 过期。
• 即使限次使用令牌的有效期为 5 分钟， SDK 仍会为 每个 请求生成一个新令牌。此外， SDK _不会_ 缓存限次使用令牌。
• 如果未强制执行重放攻击防范，App Check 不会阻止使用Firebase AI Logic 向 有效会话令牌 发出的请求。

了解 Firebase AI Logic 如何与 App Check 集成

如需使用 Firebase AI Logic SDK，必须在 Firebase 项目中启用 Firebase AI Logic API (firebasevertexai.googleapis.com) 。这是因为由 Firebase AI Logic SDK 发出的请求首先会发送到 Firebase AI Logic 服务器，该服务器充当代理网关，Firebase App Check 验证 会在请求被允许继续发送到您选择的 “Gemini API”提供方的后端以及用于访问 Gemini 和 Imagen 模型的 API 之前进行。