Zapobieganie nadużyciom interfejsu Gemini API za pomocą funkcji Sprawdzanie aplikacji Firebase

Gdy wywołujesz interfejs API bezpośrednio z aplikacji mobilnej lub aplikacji internetowej, jest on narażony na nadużycia ze strony nieautoryzowanych klientów. Jeśli chcesz wywołać Gemini API bezpośrednio z aplikacji mobilnej lub internetowej, musisz chronić ją przed nadużyciami, używając Firebase AI Logic i wymuszając Firebase App Check. Gdy wymusisz App Check, zezwolisz tylko na przychodzące żądania, które zostały zweryfikowane jako pochodzące z Twojej aplikacji lub z niezmienionego urządzenia.

arrow_downward Przejdź do instrukcji konfiguracji

Firebase AI Logic udostępnia bramę proxy, która umożliwia integrację z Gemini API i ochronę Firebase App Check, gdy jest ona wywoływana bezpośrednio przez aplikacje mobilne i internetowe. Gdy App Check jest egzekwowane w przypadku Firebase AI Logic, pomaga chronić zarówno Gemini Developer API, jak i Agent Platform Gemini API (formerly Vertex AI).

App Check dla Firebase AI Logic obsługuje też ochronę przed powtórzeniem, co oznacza, że App Check token może być użyty tylko raz.

Podsumowanie działania usługi App Check

Dzięki App Check urządzenia, na których działa Twoja aplikacja, korzystają z usługi potwierdzania autentyczności aplikacji lub urządzenia, która weryfikuje co najmniej 1 z tych elementów:

• Żądania pochodzą z Twojej autentycznej aplikacji.
• żądania pochodzą z oryginalnego, niezmodyfikowanego urządzenia;

To zaświadczenie jest dołączane do każdego żądania wysyłanego przez aplikację za pomocą pakietu SDK Firebase AI Logic. Gdy App Check jest wymuszane, żądania od klientów bez prawidłowego zaświadczenia będą odrzucane, podobnie jak wszystkie żądania pochodzące z aplikacji lub platformy, których nie masz upoważnienia.

Podczas konfigurowania App Check warto dodać ochronę przed powtórzeniem, która sprawia, że tokeny App Check są jednorazowe. Ta opcja zapewnia lepszą ochronę niż ochrona podstawowa i umożliwia ustawienie odpowiedniego poziomu ochrony aplikacji i przypadków użycia.

Szczegółowe informacje o App Check znajdziesz w dokumentacji, w tym opisy dostawców atestów oraz obowiązujące limity.

Skonfiguruj usługę App Check

Poniższe instrukcje są zoptymalizowane pod kątem konfigurowania Firebase App Checkegzekwowania zasad w przypadku Firebase AI Logic.

Krok 1. Wymuś App Check

Od początku lipca 2026 r. w ramach procesu konfiguracji z przewodnikiem w  FirebasekonsoliFirebase App Check Firebase automatycznie będzie egzekwować Firebase AI LogicGemini API, aby chronić.

Jeśli jednak Firebase AI Logic w projekcie Firebase zostało skonfigurowane przed początkiem lipca 2026 r. (lub App Check nie jest wymuszane z innego powodu), możesz samodzielnie wymusić App Check, postępując zgodnie z tymi instrukcjami.

1. Sprawdź, czy zasada App Check jest już egzekwowana w przypadku Firebase AI Logic.

   1. W konsoli Firebase otwórz Bezpieczeństwo > Sprawdzanie aplikacji > karta Interfejsy API.

   2. Znajdź wiersz Firebase AI Logic. Jeśli wyświetla się Unenforced, wykonaj pozostałe instrukcje.

2. Kliknij wiersz Firebase AI Logic, aby wyświetlić wykresy danych. Pod tymi wykresami kliknij Skonfiguruj.

3. Na pierwszym ekranie okna (Ochrona podstawowa) wybierz Wymuszona, a następnie kliknij Dalej.

4. Na następnym ekranie (Ochrona przed powtórzeniem) wybierz Wyłączone, a potem kliknij Dalej.

5. Na ostatnim ekranie zapoznaj się z informacjami dotyczącymi egzekwowania App Check , aby upewnić się, że możesz to zrobić App Check. Jeśli wszystko jest gotowe, kliknij Dalej.

   Nie musisz rejestrować aplikacji, jeśli chcesz tylko wymuszać App Check i tylko używać dostawcy debugowania z Firebase AI Logic w aplikacji przedprodukcyjnej. Gdy jednak będziesz gotowy(-a) do udostępnienia aplikacji użytkownikom, musisz zarejestrować aplikacje w ramach konfigurowania dostawcy atestów produkcyjnych (np. App Attest, Play Integrity lub reCAPTCHA Enterprise).

Krok 2. Skonfiguruj dostawcę debugowania na potrzeby lokalnego programowania

W przypadku lokalnego środowiska programistycznego możesz skonfigurować App Check dostawcę debugowania i nadal wymuszać App Check w przypadku Firebase AI Logic.

Krok 3. Skonfiguruj App Check dla użytkowników i środowiska produkcyjnego

Gdy aplikacja będzie gotowa do udostępnienia użytkownikom, musisz ją zarejestrować i skonfigurować dostawcę atestów produkcyjnych (np. App Attest, Play Integrity lub reCAPTCHA Enterprise).

1. Wybierz dostawcę atestów produkcyjnych i postępuj zgodnie z instrukcjami wdrażania, które znajdziesz pod tymi linkami:

   • Platformy Apple: DeviceCheck lub App Attest lub reCAPTCHA Enterprise
   • Android: Play Integrity lub reCAPTCHA Enterprise
   • Internet: reCAPTCHA Enterprise
   • Flutter: obsługuje wszystkich wymienionych wyżej aprowizatorów, w tym reCAPTCHA Enterprise
     . Jeśli używasz starszych wersji wtyczek, zapoznaj się z notatką o specjalnym tworzeniu instancji poniżej w przypadku Fluttera i App Check.
   • Unity: obsługuje wszystkich powyższych dostawców (obsługa reCAPTCHA Enterprise pojawi się wkrótce).

   Jeśli żaden z tych dostawców atestów nie spełnia Twoich potrzeb, możesz wdrożyć dostawcę niestandardowego, który korzysta z zewnętrznego dostawcy atestów lub z własnych technik atestowania.

2. (Zalecane) Zwiększ ochronę, dodając ochronę przed powtórzeniem, co oznacza, że token App Check może być użyty tylko raz.

// ...

// During instantiation, enable usage of limited-use tokens
final ai = await FirebaseAI.googleAI(
  // For Flutter plugin v3.11.0 or lower (BoM v4.12.0 or lower), pass in App Check explicitly.
  appCheck: FirebaseAppCheck.instance,
  useLimitedUseAppCheckTokens: true,
);

// ...

Zwiększanie ochrony przez dodanie ochrony przed powtórzeniem

Domyślnie App Check używa tokenów sesji, które mają konfigurowalny czas życia (TTL) od 30 minut do 7 dni. Te tokeny sesji są buforowane przez pakiet SDK App Check, wysyłane wraz z żądaniami z aplikacji i mogą być ponownie używane do momentu wygaśnięcia ich czasu życia. Używanie tokenów sesji jest uważane za podstawową ochronę.

Możesz jednak zwiększyć ochronę poza ten podstawowy poziom, wymuszając ochronę przed powtórzeniem, która zamiast tego używa tokenów o ograniczonym zastosowaniu. Gdy ochrona przed powtórzeniem zostanie wymuszona, wykonane zostaną te działania:

• App Check będzie blokować żądania wysyłane do Firebase AI Logic, które używają tokenów sesji. Zamiast tego App Check zezwoli na żądanie Firebase AI Logic tylko wtedy, gdy będzie ono korzystać z nowo wygenerowanego tokena o ograniczonym zastosowaniu.

• Po zweryfikowaniu tokenu o ograniczonym użyciu jest on wykorzystywany, aby można go było użyć tylko raz, co zapobiega atakom typu replay.

• Pakiet SDK App Check generuje nowy token o ograniczonym użyciu dla każdego żądania. Pamiętaj, że ten proces może wpłynąć na Twoje żądania, ponieważ może spowodować pewne opóźnienia, a czasami także koszty (w zależności od dostawcy atestów).

Konfigurowanie i egzekwowanie ochrony przed powtórzeniami

Aby skonfigurować i wymusić ochronę przed powtórzeniem:

1. Jeśli jeszcze tego nie zrobiono, skonfiguruj App Check, postępując zgodnie z instrukcjami podanymi wcześniej na tej stronie.

2. Włącz korzystanie z tokenów o ograniczonym użyciu.

   W aplikacji podczas tworzenia instancji ustaw parametr useLimitedUseAppCheckTokens na true:

   Swift

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   let ai = FirebaseAI.firebaseAI(
     backend: .googleAI(),
     useLimitedUseAppCheckTokens: true
   )
   
   // ...
   
   

   Kotlin

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   val ai = Firebase.ai(
     backend = GenerativeBackend.googleAI(),
     useLimitedUseAppCheckTokens = true
   )
   
   // ...
   
   

   Java

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   FirebaseAI ai = FirebaseAI.getInstance(
     /* backend: */ GenerativeBackend.googleAI(),
     /* useLimitedUseAppCheckTokens: */ true
   );
   
   // ...
   
   

   Web

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   const ai = getAI(firebaseApp, {
     backend: new GoogleAIBackend(),
     useLimitedUseAppCheckTokens: true
   });
   
   // ...
   
   

   Dart

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   final ai = await FirebaseAI.googleAI(
     useLimitedUseAppCheckTokens: true,
   );
   
   // ...
   
   

   Unity

   // ...
   
   // During instantiation, enable usage of limited-use tokens
   var ai = FirebaseAI.GetInstance(
     useLimitedUseAppCheckTokens: true
   );
   
   // ...
   

3. Wymuszaj ochronę przed powtórzeniem.

   1. W bazie kodu aplikacji upewnij się, że masz włączone używanie tokenów o ograniczonym zastosowaniu (patrz poprzedni krok).

   2. W konsoli Firebase otwórz Bezpieczeństwo >Sprawdzanie aplikacji.

   3. Rozwiń widok danych dla Firebase AI Logic.

   4. Sprawdź, czy podstawowa ochrona jest wymagana, a następnie kliknij Dalej.

   5. W przypadku ochrony przed powtórzeniem wybierz Nieegzekwowana (tylko monitorowanie) lub Egzekwowana.

      Aby zdecydować, kiedy wymusić ochronę przed powtórzeniem, weź pod uwagę te kwestie:

      • Monitorowanie żądań jest zalecane, jeśli znaczna liczba użytkowników korzysta ze starszych wersji aplikacji bez włączonych tokenów o ograniczonym użyciu. Jeśli natychmiast włączysz ochronę przed powtórzeniem, żądania tych użytkowników będą blokowane.

      • Możesz monitorować wskaźnik Niezweryfikowany: ponownie użyty token, który określa liczbę żądań zawierających token użyty już w poprzednim żądaniu. Monitoruj ten wskaźnik w Firebasekonsoli (otwórz Zabezpieczenia > Sprawdzanie aplikacji > karta Interfejsy API).

        Jeśli znaczna część ostatnich żądań należy do tej kategorii, możesz uniknąć zakłóceń u użytkowników i poczekać z wymaganiem ochrony przed powtórzeniami, aż więcej użytkowników zaktualizuje aplikację do wersji, która korzysta z tokenów ograniczonego użytku.

Dowiedz się, jak Firebase AI Logic integruje się z App Check

Aby korzystać z Firebase AI Logicpakietów SDK, w projekcie w Firebase musi być włączony Firebase AI Logicinterfejs API (firebasevertexai.googleapis.com). Dzieje się tak, ponieważ żądania wysyłane przez pakiety SDK Firebase AI Logic są najpierw kierowane na serwer Firebase AI Logic , który działa jako brama proxy, gdzie Firebase App Checkweryfikacja odbywa się zanim żądanie zostanie przekazane do Gemini API i  uzyska dostęp do modeli Gemini.

Najczęstsze pytania i rozwiązywanie problemów

Znajdź dodatkowe najczęstsze pytania i odpowiedzi oraz informacje o rozwiązywaniu problemów lub kody błędów związane z Firebase AI Logic.