使用入门：将 App Check 与 App Attest 搭配使用（Apple 平台）

本页介绍了如何使用内置的 App Attest 提供方在 Apple 应用中启用 App Check。启用 App Check 有助于确保只有您的应用可以访问项目的 Firebase 资源。请查看此功能的概览。

App Check 使用 App Attest 来验证发送到 Firebase 服务的请求是否来自真实的应用。App Check 目前不使用 App Attest 分析欺诈风险。

如果您希望将 App Check 与自己的自定义提供方搭配使用，请参阅实现自定义 App Check 提供方。

1. 设置您的 Firebase 项目

  1. 您需要使用 Xcode 12.5 或更高版本才能使用 App Attest。

  2. 将 Firebase 添加到您的 Apple 项目（如果尚未添加）。

  3. 在 Firebase 控制台的 App Check 部分中注册您的应用，以便将 App Check 与 App Attest 提供方搭配使用。

    您通常需要注册项目的所有应用，因为在您为 Firebase 产品启用强制执行后，只有注册的应用才能访问产品的后端资源。

  4. 可选：在应用注册设置中，为提供方颁发的 App Check 令牌设置自定义存留时间 (TTL)。您可以将 TTL 设置为 30 分钟到 7 天之间的任何值。更改此值时，请注意权衡以下几个方面：

    • 安全性：较短的 TTL 可以提供更强的安全性，因为它可以缩短攻击者可能滥用已泄露或者已被拦截的令牌的时长。
    • 性能：较短的 TTL 意味着您的应用将更频繁地执行证明操作。由于每次执行应用证明过程都会增加网络请求的延迟时间，因此短 TTL 可能会影响应用的性能。
    • 配额和费用：较短的 TTL 和频繁的重新证明会更快地耗尽您的配额，而对于付费服务，费用可能更高。请参阅配额和限制。

    对于大多数应用而言，默认的 TTL（1 小时）比较合理。请注意，App Check 库会在达到 TTL 时长约一半时刷新令牌。

2. 将 App Check 库添加到您的应用中

  1. 将 App Check 的依赖项添加到项目的 Podfile 中：

    pod 'FirebaseAppCheck'

    或者，您也可以改用 Swift Package Manager。

    此外，请确保您使用的其他 Firebase SDK 依赖项都是最新版本。

  2. 运行 pod install 并打开创建的 .xcworkspace 文件。

  3. 在 Xcode 中，将 App Attest 功能添加到您的应用中。

  4. 在项目的 .entitlements 文件中，将 App Attest 环境设置为 production。

3. 初始化 App Check

您需要先初始化 App Check，然后才能使用其他 Firebase SDK。

首先，编写 AppCheckProviderFactory 的实现。实现的具体细节取决于您的使用场景。

例如，如果您只有使用 iOS 14 及更高版本的用户，则只需始终创建 AppAttestProvider 对象即可：

Swift

注意：此 Firebase 产品不适用于 watchOS 目标系统。 

class YourSimpleAppCheckProviderFactory: NSObject, AppCheckProviderFactory {
  func createProvider(with app: FirebaseApp) -> AppCheckProvider? {
    return AppAttestProvider(app: app)
  }
}

Objective-C

注意：此 Firebase 产品不适用于 watchOS 目标。

@interface YourSimpleAppCheckProviderFactory : NSObject <FIRAppCheckProviderFactory>
@end

@implementation YourSimpleAppCheckProviderFactory

- (nullable id<FIRAppCheckProvider>)createProviderWithApp:(nonnull FIRApp *)app {
  return [[FIRAppAttestProvider alloc] initWithApp:app];
}

@end

或者，您也可以针对 iOS 14 及更高版本创建 AppAttestProvider 对象，并在早期版本上回退到 DeviceCheckProvider：

Swift

注意：此 Firebase 产品不适用于 watchOS 目标系统。 

class YourAppCheckProviderFactory: NSObject, AppCheckProviderFactory {
  func createProvider(with app: FirebaseApp) -> AppCheckProvider? {
    if #available(iOS 14.0, *) {
      return AppAttestProvider(app: app)
    } else {
      return DeviceCheckProvider(app: app)
    }
  }
}

Objective-C

注意：此 Firebase 产品不适用于 watchOS 目标系统。 

@interface YourAppCheckProviderFactory : NSObject <FIRAppCheckProviderFactory>
@end

@implementation YourAppCheckProviderFactory

- (nullable id<FIRAppCheckProvider>)createProviderWithApp:(nonnull FIRApp *)app {
  if (@available(iOS 14.0, *)) {
    return [[FIRAppAttestProvider alloc] initWithApp:app];
  } else {
    return [[FIRDeviceCheckProvider alloc] initWithApp:app];
  }
}

@end

实现 AppCheckProviderFactory 类后，请配置 App Check 以使用该类：

Swift

注意：此 Firebase 产品不适用于 watchOS 目标系统。 

let providerFactory = YourAppCheckProviderFactory()
AppCheck.setAppCheckProviderFactory(providerFactory)

FirebaseApp.configure()

Objective-C

注意：此 Firebase 产品不适用于 watchOS 目标系统。 

YourAppCheckProviderFactory *providerFactory =
        [[YourAppCheckProviderFactory alloc] init];
[FIRAppCheck setAppCheckProviderFactory:providerFactory];

[FIRApp configure];

后续步骤

将 App Check 库安装到您的应用中之后，开始将更新后的应用分发给用户。

更新后的客户端应用会开始将 App Check 令牌随其发出的每个请求一起发送到 Firebase；不过，您在 Firebase 控制台的 App Check 部分中启用强制执行之前，Firebase 产品并不会要求令牌必须有效。

监控指标并启用强制执行

不过，在启用强制执行之前，您应该确保这样做不会干扰现有的合法用户。另一方面，如果您发现自己的应用资源被非法使用，建议您尽快启用强制执行。

为帮助您做出相关决策，建议您查看自己使用的服务的 App Check 指标：

启用 App Check 强制执行

在了解 App Check 对用户有何影响并为后续操作做好准备之后，您便可以启用 App Check 强制执行：

在调试环境中使用 App Check

为 App Check 注册应用后，如果您希望在 App Check 通常不会归类为有效提供方的环境（例如开发期间的模拟器）或持续集成 (CI) 环境中运行您的应用，可以创建应用的调试 build，该 build 使用 App Check 调试提供方，而不是真正的证明提供方。

请参阅将 App Check 与调试提供方搭配使用（Apple 平台）。