Ochrona zasobów spoza Firebase za pomocą Sprawdzania aplikacji na platformach Apple

Możesz chronić zasoby aplikacji spoza Firebase, takie jak własne backendy, za pomocą Sprawdzania aplikacji. Aby to zrobić, musisz wykonać obie te czynności:

• Zmodyfikuj klienta aplikacji, aby wysyłał token Sprawdzania aplikacji przy każdym żądaniu do backendu, w sposób opisany na tej stronie.
• Zmodyfikuj backend tak, aby przy każdym żądaniu wymagany był prawidłowy token Sprawdzania aplikacji. jak opisano w sekcji Weryfikowanie tokenów Sprawdzania aplikacji z niestandardowego backendu.

Zanim zaczniesz

Dodaj Sprawdzanie aplikacji do swojej aplikacji przy użyciu polecenia App Attest, DeviceCheck lub dostawcę niestandardowego.

Wysyłaj tokeny Sprawdzania aplikacji z żądaniami backendu

Aby żądania backendu zawierały prawidłowy, niewygasły token Sprawdzania aplikacji, umieść każde żądanie w wywołaniu funkcji AppCheck.token(). Biblioteka Sprawdzania aplikacji w razie potrzeby odświeży token i będzie on dostępny na dla tej metody.

Po uzyskaniu prawidłowego tokena wyślij go do backendu wraz z żądaniem. jak to zrobisz, zależy od Ciebie, ale nie wysyłaj Tokeny Sprawdzania aplikacji w ramach adresów URL, m.in. w parametrach zapytania, ponieważ narażają je na przypadkowe wyciek i przechwycenie. Poniżej wysyła token w niestandardowym nagłówku HTTP, co jest zalecane jak ważna jest pokora.

do {
  let token = try await AppCheck.appCheck().token(forcingRefresh: false)

  // Get the raw App Check token string.
  let tokenString = token.token

  // Include the App Check token with requests to your server.
  let url = URL(string: "https://yourbackend.example.com/yourApiEndpoint")!
  var request = URLRequest(url: url)
  request.httpMethod = "GET"
  request.setValue(tokenString, forHTTPHeaderField: "X-Firebase-AppCheck")

  let task = URLSession.shared.dataTask(with: request) { data, response, error in
      // Handle response from your backend.
  }
  task.resume()
} catch(let error) {
  print("Unable to retrieve App Check token: \(error)")
  return
}

[[FIRAppCheck appCheck] tokenForcingRefresh:NO
                                 completion:^(FIRAppCheckToken * _Nullable token,
                                              NSError * _Nullable error) {
    if (error != nil) {
        // Handle any errors if the token was not retrieved.
        NSLog(@"Unable to retrieve App Check token: %@", error);
        return;
    }
    if (token == nil) {
        NSLog(@"Unable to retrieve App Check token.");
        return;
    }

    // Get the raw App Check token string.
    NSString *tokenString = token.token;

    // Include the App Check token with requests to your server.
    NSURL *url = [[NSURL alloc] initWithString:@"https://yourbackend.example.com/yourApiEndpoint"];
    NSMutableURLRequest *request = [[NSMutableURLRequest alloc] initWithURL:url];
    [request setHTTPMethod:@"GET"];
    [request setValue:tokenString forHTTPHeaderField:@"X-Firebase-AppCheck"];

    NSURLSessionDataTask *task =
        [[NSURLSession sharedSession] dataTaskWithRequest:request
                                        completionHandler:^(NSData * _Nullable data,
                                                            NSURLResponse * _Nullable response,
                                                            NSError * _Nullable error) {
        // Handle response from your backend.
    }];
    [task resume];
}];

Ochrona ponownego odtwarzania (beta)

Podczas wysyłania żądania do punktu końcowego, dla którego włączono ochrony przed ponownym odtwarzaniem, umieść żądanie w wywołaniu funkcji limitedUseToken() zamiast token():

AppCheck.appCheck().limitedUseToken() { token, error in
  // ...
}

[[FIRAppCheck appCheck] limitedUseTokenWithCompletion:^(FIRAppCheckToken * _Nullable token,
                                                        NSError * _Nullable error) {
    // ...
}];