使用 Firebase App Check 防止 Gemini API 滥用

如果您直接从移动应用或 Web 应用调用 API（例如，允许访问生成式 AI 模型的 API），则该 API 容易受到未经授权的客户端的滥用。为了帮助保护这些 API 免遭滥用，您可以使用 Firebase App Check 来验证所有传入的 API 调用是否来自您的实际应用和未经篡改的设备。

Firebase AI Logic 提供了一个代理网关，可让您与 Firebase App Check 集成，并保护移动应用和 Web 应用调用的生成式 AI 模型 API。将 App Check 与 Firebase AI Logic SDK 搭配使用可支持我们的所有配置：

• 同时保护 Gemini Developer API 和 Vertex AI Gemini API 这两个“Gemini API”提供方。

• 保护所有受支持的模型，包括 Gemini 模型和 Imagen 模型。

App Check 还支持重放攻击防范，这意味着 App Check 令牌只能使用一次。

App Check 的运作方式简要总结

使用 App Check 时，运行您的应用的设备将使用应用或设备证明提供方，用于验证以下两项或其中一项：

• 请求来自您的正版应用
• 请求来自真实的、未经篡改的设备

此证明会附加到您的应用使用 Firebase AI Logic SDK 发出的每个请求。强制执行 App Check 后，来自没有有效证明的客户端的请求将被拒绝，来自未经您授权的应用或平台的请求也将被拒绝。

设置 App Check 时，请考虑添加重放攻击防范，这会使 App Check 令牌只能使用一次。此选项可提供超出基准保护的增强保护，让您为应用和用例设置适当的保护级别。

您可以在 App Check 的文档中找到有关它的详细信息，包括其配额和限制。

设置 App Check

App Check 文档详细介绍了证明提供方以及详细的实现说明。

1. 选择一个证明提供方，然后按照以下链接中的实现说明操作：

   • Apple 平台：DeviceCheck 或 App Attest
   • Android： Play Integrity
   • 网站：reCAPTCHA Enterprise
   • Flutter：支持上述所有默认提供方
     如果您使用的是旧版插件，请参阅下文中有关特殊实例化的注意事项，了解 Flutter 和 App Check。
   • Unity：支持上述所有默认提供程序

   请注意，如果这些证明提供程序都不能完全满足您的需求，您可以实现自定义提供程序，从而使用第三方证明提供程序或您自己的证明方法。

2. （必需）在将应用提交到公开提供的源代码控制系统、共享应用或公开发布应用之前，请先启用 App Check 强制执行。

3. （推荐） 添加重放攻击防范，以增强保护功能，这意味着 App Check 令牌只能使用一次。

4. 对于强制执行 App Check 的本地开发，请配置 App Check 调试提供程序以绕过证明，同时仍保持 App Check 的强制执行。请参阅相应平台的设置说明： iOS+ | Android | Web | Flutter | Unity。

// ...

// During instantiation, enable usage of limited-use tokens
final ai = await FirebaseAI.googleAI(
  // For Flutter plugin v3.11.0 or lower (BoM v4.12.0 or lower), pass in App Check explicitly.
  appCheck: FirebaseAppCheck.instance,
  useLimitedUseAppCheckTokens: true,
);

// ...

通过添加重放保护来增强保护功能

默认情况下，App Check 使用会话令牌，该令牌的存留时间 (TTL) 可配置为介于 30 分钟和 7 天之间。这些会话令牌由 App Check SDK 缓存，随应用发出的请求一起发送，并且可以重复使用，直到其 TTL 过期。使用会话令牌被视为基本保护措施。

不过，您可以通过强制执行重放攻击防范来增强保护，该功能会使用限次令牌。强制执行重放攻击防范时，会发生以下情况：

• App Check 将阻止使用会话令牌向 Firebase AI Logic 发出的请求。相反，App Check 仅当请求使用新生成的有限用途令牌时，才允许该请求访问 Firebase AI Logic。

• 验证有限用途令牌后，系统会消耗该令牌，使其只能使用一次，从而防止重放攻击。

• App Check SDK 会为每项请求生成一个新的限时令牌。请注意，此过程可能会增加一些延迟时间，有时还会产生费用（具体取决于您的证明提供方），从而影响您的请求。

设置并强制执行重放保护

以下是设置和强制执行重放攻击防范的方法：

1. 如果您尚未执行此操作，请实现 App Check 并为您的应用启用 App Check 强制执行。

2. 启用限制用途的令牌。

   在应用实例化期间，将 useLimitedUseAppCheckTokens 参数设置为 true：

   Swift

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   let ai = FirebaseAI.firebaseAI(
     backend: .googleAI(),
     useLimitedUseAppCheckTokens: true
   )
   
   // ...
   
   

   Kotlin

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   val ai = Firebase.ai(
     backend = GenerativeBackend.googleAI(),
     useLimitedUseAppCheckTokens = true
   )
   
   // ...
   
   

   Java

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   FirebaseAI ai = FirebaseAI.getInstance(
     /* backend: */ GenerativeBackend.googleAI(),
     /* useLimitedUseAppCheckTokens: */ true
   );
   
   // ...
   
   

   Web

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   const ai = getAI(firebaseApp, {
     backend: new GoogleAIBackend(),
     useLimitedUseAppCheckTokens: true
   });
   
   // ...
   
   

   Dart

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   final ai = await FirebaseAI.googleAI(
     useLimitedUseAppCheckTokens: true,
   );
   
   // ...
   
   

   Unity

   // ...
   
   // During instantiation, enable usage of limited-use tokens
   var ai = FirebaseAI.GetInstance(
     useLimitedUseAppCheckTokens: true
   );
   
   // ...
   

3. 强制执行重放攻击防范。

   1. 在应用的代码库中，确保您已启用对限次使用令牌的使用（请参阅上一步）。

   2. 在 Firebase 控制台中，依次前往安全性 > App Check。

   3. 展开 Firebase AI Logic 的指标视图。

   4. 确保基准保护处于强制执行状态，然后点击继续。

   5. 对于重放保护，请选择不强制执行（仅监控）或强制执行。

      请考虑以下因素，以决定何时强制执行重放攻击防范：

      • 如果您的相当一部分用户可能在使用未启用受限用途令牌的旧版应用，建议您监控请求。如果您立即强制执行重放保护，系统会屏蔽这些用户的请求。

      • 您可以专门监控未验证：重复使用的令牌指标，该指标是指包含的令牌已在之前的请求中使用过的请求数量。在 Firebase 控制台中监控此指标（依次前往安全性 > App Check > API 标签页）。

        如果近期请求中有很大一部分属于此类别，您可以避免干扰用户，并考虑等待更多用户更新到使用限次令牌的应用版本之后，再强制执行重放保护。

了解 Firebase AI Logic 如何与 App Check 集成

如需使用 Firebase AI Logic SDK，必须在 Firebase 项目中启用 Firebase AI Logic API (firebasevertexai.googleapis.com)。这是因为 Firebase AI Logic SDK 发出的请求会先发送到 Firebase AI Logic 服务器，该服务器充当代理网关，Firebase App Check 验证会在请求获准继续发送到您选择的“Gemini API”提供商的后端以及用于访问 Gemini 和 Imagen 模型的 API 之前进行。

（可选）强制执行 App Check，但不使用生产证明提供方（仅限调试提供方）

您可以针对 AI Logic 强制执行 App Check，而无需向生产环境中的证明提供方注册应用。此设置可让您使用 App Check 调试提供方更轻松地开始使用 AI Logic，同时仍能保护 Gemini API。

1. 检查是否已针对 AI Logic 强制执行 App Check。

   1. 在 Firebase 控制台中，依次前往安全性 > App Check > API 标签页。

   2. 找到 Firebase AI Logic 对应的行。如果显示 Unenforced，请继续按照这些说明的其余部分操作。

2. 点击 Firebase AI Logic 对应的行，您会看到指标图表。 点击这些图表下方的设置。

3. 在对话框的第一个界面（基准保护）中，选择强制执行，然后点击继续。

4. 在下一个界面（重放保护）中，选择已停用。您随时可以稍后进行此设置，并返回到此设置工作流程。点击继续。

5. 在最后一个界面中，查看有关强制执行 App Check 的注意事项，确保您已准备好强制执行 App Check。准备就绪后，点击继续。

   如果您只想在预生产应用中强制执行 App Check 并仅将调试提供方与 AI Logic 搭配使用，则无需注册应用。不过，当您准备好向最终用户发布应用时，需要注册应用，作为设置生产证明提供方（例如 App Attest、Play Integrity 或 reCAPTCHA Enterprise）的一部分。

6. 对于强制执行 App Check 的本地开发，您需要配置 App Check 调试提供程序，以便在绕过证明的同时仍能保持 App Check 的强制执行。

   如需详细了解如何配置调试提供方，请参阅相应平台的说明： iOS+ | Android | Web | Flutter | Unity。