Erste Schritte mit App Check mit Play Integrity auf Android-Geräten

Auf dieser Seite erfahren Sie, wie Sie App Check in einer Android-App mit dem integrierten Play Integrity-Anbieter aktivieren. Wenn Sie App Check aktivieren, sorgen Sie dafür, dass nur Ihre App auf die Firebase-Ressourcen Ihres Projekts zugreifen kann. Hier finden Sie eine Übersicht.

Derzeit unterstützt der integrierte Play Integrity-Anbieter nur Android-Apps bei Google Play vertrieben werden. die Funktionen von Play Integrity außerhalb von Play zu nutzen oder App Check mit Ihrem eigenen benutzerdefinierten Anbieter finden Sie unter Implementieren Sie einen benutzerdefinierten App Check-Anbieter.

1. Das Firebase-Projekt einrichten

1. Fügen Sie Ihrem Android-Projekt Firebase hinzu, falls noch nicht geschehen bereits getan haben.

2. Aktivieren Sie die Play Integrity API:

   1. Führen Sie in der Google Play Console folgende Schritte aus: wählen Sie Ihre App aus oder fügen Sie sie hinzu, falls Sie dies noch nicht getan haben.

   2. Klicken Sie im Abschnitt Release auf App-Integrität.

   3. Gehen Sie zum Abschnitt Play Integrity API der Seite, klicken Sie auf Cloud-Projekt verknüpfen. und wählen Sie dann Ihr Firebase-Projekt aus der Liste der Google Cloud-Projekte aus. Das hier ausgewählte Projekt muss dasselbe Firebase-Projekt sein, in dem Sie Ihre App registrieren (siehe nächster Schritt).

3. Registrieren Sie Ihre Apps für die Verwendung von App Check mit dem Play Integrity-Anbieter im Bereich App Check der Firebase-Konsole. Sie müssen den SHA-256-Fingerabdruck des Signaturzertifikats Ihrer App angeben.

   Normalerweise müssen Sie alle Apps Ihres Projekts registrieren, Erzwingung für ein Firebase-Produkt aktivieren, können nur registrierte Apps um auf die Back-End-Ressourcen des Produkts zuzugreifen.

4. Optional: Legen Sie in den Einstellungen für die App-Registrierung eine benutzerdefinierte Gültigkeitsdauer fest. (TTL) für App Check Tokens, die vom Anbieter ausgestellt wurden. Sie können die TTL festlegen auf einen beliebigen Wert zwischen 30 Minuten und 7 Tagen. Beachten Sie beim Ändern dieses Werts die folgenden Einschränkungen:

   • Sicherheit: Kürzere TTLs bieten eine höhere Sicherheit, da das Zeitfenster verkürzt wird, in dem ein gehacktes oder abgefangenes Token von einem Angreifer missbraucht werden kann.
   • Leistung: Kürzere TTLs bedeuten, dass deine App die Attestierung mehr ausführt. häufig auftreten. Da der App-Attestierungsprozess bei jeder Ausführung zu einer Latenz bei Netzwerkanfragen führt, kann eine kurze TTL sich auf die Leistung Ihrer App auswirken.
   • Kontingent und Kosten: Kürzere TTLs und häufige Neuattestierungen verringern Ihr Kontingent schneller und können bei kostenpflichtigen Diensten zu höheren Kosten führen. Siehe Kontingente und .

   Die Standard-TTL von 1 Stunde ist für die meisten Apps angemessen. Hinweis: Die App Check-Bibliothek aktualisiert Tokens nach etwa der Hälfte der TTL-Dauer.

2. App Check-Bibliothek zur App hinzufügen

dependencies {
    // Import the BoM for the Firebase platform
    implementation(platform("com.google.firebase:firebase-bom:33.4.0"))

    // Add the dependencies for the App Check libraries
    // When using the BoM, you don't specify versions in Firebase library dependencies
    implementation("com.google.firebase:firebase-appcheck-playintegrity")
}

Mit der Firebase Android BoM haben Sie immer eine kompatible Version der Firebase Android-Bibliotheken in Ihrer App.

dependencies {
    // Add the dependencies for the App Check libraries
    // When NOT using the BoM, you must specify versions in Firebase library dependencies
    implementation("com.google.firebase:firebase-appcheck-playintegrity:18.0.0")
}

3. App Check initialisieren

Fügen Sie Ihrer App den folgenden Initialisierungscode hinzu, damit sie vor der Verwendung ausgeführt wird anderen Firebase SDKs:

Firebase.initialize(context = this)
Firebase.appCheck.installAppCheckProviderFactory(
    PlayIntegrityAppCheckProviderFactory.getInstance(),
)
MainActivity.kt

FirebaseApp.initializeApp(/*context=*/ this);
FirebaseAppCheck firebaseAppCheck = FirebaseAppCheck.getInstance();
firebaseAppCheck.installAppCheckProviderFactory(
        PlayIntegrityAppCheckProviderFactory.getInstance());
MainActivity.java

Nächste Schritte

Sobald die App Check-Bibliothek in Ihrer App installiert ist, können Sie die aktualisierte App für Ihre Nutzer bereitstellen.

Die aktualisierte Client-App sendet dann mit jeder Anfrage an Firebase App Check-Token. Für Firebase-Produkte müssen die Token jedoch erst dann gültig sein, wenn Sie die Erzwingung im Bereich App Check der Firebase Console aktivieren.

Messwerte beobachten und Erzwingung aktivieren

Bevor Sie die Erzwingung aktivieren, sollten Sie jedoch prüfen, ob dies die Nutzung für Ihre bestehenden rechtmäßigen Nutzer nicht beeinträchtigt. Wenn Sie andererseits die verdächtige Nutzung Ihrer App-Ressourcen, sollten Sie die Erzwingung aktivieren früher.

Als Entscheidungshilfe können Sie sich die App Check-Messwerte für die Dienste, die Sie nutzen:

• App Check-Anfragemesswerte überwachen für Realtime Database, Cloud Firestore, Cloud Storage, Firebase Data Connect (Vorschau), Authentication (Beta) und Vertex AI in Firebase (Vorschau).
• App Check-Anfragemesswerte für Cloud Functions überwachen

App Check-Erzwingung aktivieren

Wenn Sie wissen, wie sich App Check auf Ihre Nutzer auswirkt, und bereit sind, fortzufahren, können Sie die Durchsetzung von App Check aktivieren:

• App Check-Erzwungene Einhaltung aktivieren für Realtime Database, Cloud Firestore, Cloud Storage, Firebase Data Connect (Vorabversion), Authentication (Beta) und Vertex AI in Firebase (Vorabversion).
• Aktivieren Sie die App Check-Erzwingung für Cloud Functions.

App Check in Debug-Umgebungen verwenden

Wenn Sie Ihre App nach der Registrierung für App Check in einer Umgebung ausführen möchten, die von App Check normalerweise nicht als gültig eingestuft wird, z. B. in einem Emulator während der Entwicklung oder in einer CI-Umgebung (Continuous Integration), können Sie einen Debug-Build Ihrer App erstellen, der den App Check-Debuganbieter anstelle eines echten Attestierungsanbieters verwendet.

Weitere Informationen finden Sie unter App Check mit dem Debug-Anbieter auf Android-Geräten verwenden.