Benutzerdefinierte Backend-Ressourcen mit App Check auf Android-Geräten schützen

Mit App Check können Sie benutzerdefinierte Backend-Ressourcen, die nicht von Google stammen, für Ihre App schützen, z. B. Ihr eigenes selbst gehostetes Backend. Dazu müssen Sie Folgendes tun:

  • Ändern Sie Ihren App-Client so, dass er mit jeder Anfrage an Ihr Backend ein App Check-Token sendet, wie auf dieser Seite beschrieben.
  • Ändern Sie Ihr Backend so, dass für jede Anfrage ein gültiges App Check-Token erforderlich ist, wie unter App Check-Tokens von einem benutzerdefinierten Backend prüfen beschrieben.

Hinweis

Fügen Sie Ihrer App App Check hinzu, entweder mit dem standardmäßigen Play Integrity-Anbieter oder einem benutzerdefinierten Anbieter.

App Check-Tokens mit Backend-Anfragen senden

Damit Ihre Backend-Anfragen ein gültiges, nicht abgelaufenes App Check-Token enthalten, müssen Sie jede Anfrage in einen Aufruf von getAppCheckToken() einbinden. Die App Check-Bibliothek aktualisiert das Token bei Bedarf. Sie können im Erfolgs-Listener der Methode auf das Token zugreifen.

Sobald Sie ein gültiges Token haben, senden Sie es zusammen mit der Anfrage an Ihr Backend. Wie Sie das genau umsetzen, bleibt Ihnen überlassen. Senden Sie jedoch keine App Check-Tokens als Teil von URLs, auch nicht in Suchparametern, da sie sonst versehentlich weitergegeben und abgefangen werden können. Es wird empfohlen, das Token in einem benutzerdefinierten HTTP-Header zu senden.

Wenn Sie beispielsweise Retrofit verwenden:

Kotlin 

class ApiWithAppCheckExample {
    interface YourExampleBackendService {
        @GET("yourExampleEndpoint")
        fun exampleData(
            @Header("X-Firebase-AppCheck") appCheckToken: String,
        ): Call<List<String>>
    }

    var yourExampleBackendService: YourExampleBackendService = Retrofit.Builder()
        .baseUrl("https://yourbackend.example.com/")
        .build()
        .create(YourExampleBackendService::class.java)

    fun callApiExample() {
        Firebase.appCheck.getAppCheckToken(false).addOnSuccessListener { appCheckToken ->
            val token = appCheckToken.token
            val apiCall = yourExampleBackendService.exampleData(token)
            // ...
        }
    }
}

Java 

public class ApiWithAppCheckExample {
    private interface YourExampleBackendService {
        @GET("yourExampleEndpoint")
        Call<List<String>> exampleData(
                @Header("X-Firebase-AppCheck") String appCheckToken);
    }

    YourExampleBackendService yourExampleBackendService = new Retrofit.Builder()
            .baseUrl("https://yourbackend.example.com/")
            .build()
            .create(YourExampleBackendService.class);

    public void callApiExample() {
        FirebaseAppCheck.getInstance()
                .getAppCheckToken(false)
                .addOnSuccessListener(new OnSuccessListener<AppCheckToken>() {
                    @Override
                    public void onSuccess(@NonNull AppCheckToken appCheckToken) {
                        String token = appCheckToken.getToken();
                        Call<List<String>> apiCall =
                                yourExampleBackendService.exampleData(token);
                        // ...
                    }
                });
    }
}

Schutz vor Wiederholungsangriffen (Beta)

Wenn Sie eine Anfrage an einen Endpunkt senden, für den Sie den Wiedergabeschutz aktiviert haben, verpacken Sie die Anfrage in einen Aufruf von getLimitedUseAppCheckToken() anstelle von getAppCheckToken():

Kotlin 

Firebase.appCheck.limitedUseAppCheckToken.addOnSuccessListener {
    // ...
}

Java 

FirebaseAppCheck.getInstance()
        .getLimitedUseAppCheckToken().addOnSuccessListener(
                new OnSuccessListener<AppCheckToken>() {
                    @Override
                    public void onSuccess(AppCheckToken appCheckToken) {
                        String token = appCheckToken.getToken();
                        // ...
                    }
                }
        );