เปิดใช้การบังคับใช้ App Check

เมื่อเข้าใจว่า App Check จะส่งผลต่อผู้ใช้อย่างไร และพร้อมที่จะดำเนินการต่อแล้ว คุณก็เปิดใช้การบังคับใช้ App Check ได้

ขั้นตอนต่อไปนี้อธิบายวิธีเปิดใช้การบังคับใช้สำหรับ Firebase AI Logic, SQL Connect, Realtime Database, Cloud Firestore, Cloud Storage, Authentication, Google Identity สำหรับ iOS, Maps JavaScript API และ Places API (ใหม่) เมื่อเปิดใช้การบังคับใช้สำหรับผลิตภัณฑ์แล้ว ระบบจะปฏิเสธคำขอที่ยังไม่ได้ยืนยันทั้งหมดไปยังผลิตภัณฑ์นั้น

  1. ในFirebaseคอนโซล ให้ไปที่ความปลอดภัย > App Check

  2. ขยายมุมมองเมตริกของผลิตภัณฑ์ที่คุณต้องการเปิดใช้ การบังคับใช้

  3. คลิกบังคับใช้และยืนยันตัวเลือก

โปรดทราบว่าหลังจากที่คุณเปิดใช้การบังคับใช้แล้ว ระบบอาจใช้เวลาถึง 15 นาที จึงจะมีผล

การป้องกันการเล่นซ้ำ (เบต้า)

โดยค่าเริ่มต้น App Check จะใช้โทเค็นเซสชันซึ่งมี Time to Live (TTL) ที่กำหนดค่าได้ระหว่าง 30 นาทีถึง 7 วัน App Check SDK จะแคชโทเค็นเซสชันเหล่านี้ ส่งพร้อมกับ คำขอจากแอป และนำกลับมาใช้ใหม่ได้จนกว่า TTL จะหมดอายุ การใช้โทเค็นเซสชันถือเป็นการป้องกันพื้นฐาน

หากต้องการเพิ่มการปกป้องนอกเหนือจากการปกป้องพื้นฐานที่ App Check มอบให้ คุณสามารถบังคับใช้การป้องกันการเล่นซ้ำได้ (ไม่บังคับ) สิ่งที่จะเกิดขึ้นเมื่อคุณ บังคับใช้การป้องกันการเล่นซ้ำมีดังนี้

  • App Check จะบล็อกคำขอไปยัง API ที่ได้รับการปกป้องซึ่งใช้โทเค็นเซสชัน แต่ App Check จะอนุญาตคำขอไปยัง API ที่ได้รับการปกป้องซึ่งใช้โทเค็นแบบจำกัดการใช้งานที่สร้างขึ้นใหม่เท่านั้น โปรดดูเอกสารประกอบเฉพาะผลิตภัณฑ์เพื่อดูวิธีเปิดใช้โทเค็นแบบจำกัดการใช้งาน ในแอป

  • หลังจากยืนยันโทเค็นแบบใช้ครั้งเดียวแล้ว ระบบจะใช้โทเค็นดังกล่าวเพื่อให้ใช้ได้เพียงครั้งเดียว ซึ่งจะช่วยป้องกันการโจมตีแบบใช้โทเค็นซ้ำ (Replay)

  • App Check SDK จะสร้างโทเค็นใหม่สำหรับคำขอแต่ละรายการ กระบวนการนี้อาจส่งผลต่อคำขอของคุณโดยการเพิ่มเวลาในการตอบสนอง และบางครั้งอาจมีค่าใช้จ่าย (ขึ้นอยู่กับผู้ให้บริการการรับรอง)

วิธีบังคับใช้การป้องกันการเล่นซ้ำมีดังนี้

  1. เปิดใช้โทเค็นแบบจำกัดการใช้งานในฐานของโค้ดของแอป ดูวิธีการเหล่านี้ได้ในเอกสารประกอบเฉพาะผลิตภัณฑ์

  2. ในFirebaseคอนโซล ให้ไปที่ความปลอดภัย > App Check

  3. ขยายมุมมองเมตริกสำหรับ API ที่ได้รับการคุ้มครอง

  4. ตรวจสอบว่าการป้องกันพื้นฐานบังคับใช้แล้ว จากนั้นคลิกต่อไป

  5. สำหรับการป้องกันการเล่นซ้ำ ให้เลือกไม่บังคับใช้ (ตรวจสอบเท่านั้น) หรือ บังคับใช้

    พิจารณาสิ่งต่อไปนี้เพื่อตัดสินใจว่าจะบังคับใช้การป้องกันการเล่นซ้ำเมื่อใด

    • เราขอแนะนำให้ตรวจสอบคำขอหากผู้ใช้จำนวนมากมีแนวโน้มที่จะใช้แอปเวอร์ชันก่อนหน้าโดยไม่ได้เปิดใช้โทเค็นแบบจำกัดการใช้งาน หากคุณบังคับใช้การป้องกันการเล่นซ้ำ ทันที ระบบจะบล็อกคำขอจากผู้ใช้เหล่านั้น

    • ในแท็บ API ของFirebase Console ที่ความปลอดภัย > App Check คุณสามารถตรวจสอบเมตริกไม่ได้รับการยืนยัน: โทเค็นที่นำกลับมาใช้ใหม่ ซึ่งเป็นจำนวนคำขอที่มีโทเค็นที่ใช้ไปแล้วในคำขอก่อนหน้า หากคำขอที่ส่งล่าสุดส่วนใหญ่ อยู่ในหมวดหมู่นี้ คุณควรหลีกเลี่ยงการรบกวน ผู้ใช้และพิจารณารอให้ผู้ใช้จำนวนมากขึ้นอัปเดตแอป ก่อนที่จะเปิดใช้การบังคับใช้