ウェブアプリの App Check で Firebase 以外のリソースを保護する

App Check では、アプリで使用する Firebase 以外のリソース（セルフホストバックエンドなど）も保護できます。そのためには、次の両方を行う必要があります。

このページで説明するように、各リクエストとともに App Check トークンをバックエンドに送信するようにアプリクライアントを変更します。
カスタムバックエンドからの App Check トークンの検証の説明のように、リクエストごとに有効な App Check トークンを要求するようにバックエンドを変更します。

始める前に

reCAPTCHA v3 プロバイダ、reCAPTCHA Enterprise プロバイダ、またはカスタムプロバイダを使用して、アプリに App Check を追加します。

バックエンドリクエストと一緒に App Check トークンを送信する

アプリでリクエストを送信する前に、appCheck().getToken() を使用して、有効期限内の有効な App Check トークンを取得します。App Check ライブラリが必要に応じてトークンを更新します。

有効なトークンを取得したら、リクエストと一緒にバックエンドに送信します。具体的な方法は自由に決めることができますが、クエリパラメータや URL の一部として App Check トークンを送信しないでください。漏えいや傍受のリスクが高まります。次の例のように、カスタム HTTP ヘッダーでトークンを送信することをおすすめします。

Web version 9

const { initializeAppCheck, getToken } = require('firebase/app-check');

const appCheck = initializeAppCheck(
    app,
    { provider: provider } // ReCaptchaV3Provider or CustomProvider
);

const callApiWithAppCheckExample = async () => {
  let appCheckTokenResponse;
  try {
      appCheckTokenResponse = await getToken(appCheck, /* forceRefresh= */ false);
  } catch (err) {
      // Handle any errors if the token was not retrieved.
      return;
  }

  // Include the App Check token with requests to your server.
  const apiResponse = await fetch('https://yourbackend.example.com/yourApiEndpoint', {
      headers: {
          'X-Firebase-AppCheck': appCheckTokenResponse.token,
      }
  });

  // Handle response from your backend.
};index.js

Web version 8

const callApiWithAppCheckExample = async () => {
  let appCheckTokenResponse;
  try {
      appCheckTokenResponse = await firebase.appCheck().getToken(/* forceRefresh= */ false);
  } catch (err) {
      // Handle any errors if the token was not retrieved.
      return;
  }

  // Include the App Check token with requests to your server.
  const apiResponse = await fetch('https://yourbackend.example.com/yourApiEndpoint', {
      headers: {
          'X-Firebase-AppCheck': appCheckTokenResponse.token,
      }
  });

  // Handle response from your backend.
};index.js

リプレイ保護（ベータ版）

リプレイ保護を有効にしたエンドポイントに対してリクエストを行う場合は、getToken() ではなく getLimitedUseToken() を使用してトークンを取得します。

const { getLimitedUseToken } = require('firebase/app-check');

// ...

appCheckTokenResponse = await getLimitedUseToken(appCheck);