Zapobieganie nadużyciom interfejsu Gemini API za pomocą funkcji Sprawdzanie aplikacji Firebase

Gdy wywołujesz interfejs API bezpośrednio z aplikacji mobilnej lub internetowej, jest on narażony na nadużycia ze strony nieautoryzowanych klientów. Jeśli chcesz wywoływać Gemini API bezpośrednio z aplikacji mobilnej lub internetowej, musisz chronić ją przed nadużyciami, korzystając z Firebase AI Logic i egzekwując Firebase App Check. Gdy wymusisz App Check, dozwolone będą tylko żądania przychodzące, które zostaną zweryfikowane jako pochodzące z Twojej aplikacji lub urządzenia, które nie zostało zmodyfikowane.

arrow_downward Przejdź do instrukcji konfiguracji

Firebase AI Logic udostępnia bramę proxy, która umożliwia integrację z Firebase App Check i ochronę Gemini API, gdy jest wywoływany bezpośrednio przez aplikacje mobilne i aplikacje internetowe. Gdy zasada App Check jest egzekwowana w przypadku Firebase AI Logic, pomaga chronić zarówno Gemini Developer API, jak i Agent Platform Gemini API (formerly Vertex AI).

App Check dla Firebase AI Logic obsługuje też ochronę przed powtórzeniami, co oznacza, że token App Check może być użyty tylko raz.

Ogólne podsumowanie działania usługi App Check

W przypadku App Check urządzenia, na których działa Twoja aplikacja, korzystają z dostawcy atestu aplikacji lub urządzenia, który weryfikuje co najmniej 1 z tych elementów:

• żądania pochodzą z Twojej autentycznej aplikacji,
• żądania pochodzą z autentycznego, niezmienionego urządzenia;

To zaświadczenie jest dołączane do każdego żądania wysyłanego przez aplikację za pomocą pakietu SDK Firebase AI Logic. Gdy wymuszanie App Check jest włączone, żądania od klientów bez prawidłowego atestu będą odrzucane, podobnie jak wszystkie żądania pochodzące z aplikacji lub platformy, które nie zostały przez Ciebie autoryzowane.

Podczas konfigurowania App Check rozważ dodanie ochrony przed powtórzeniami, dzięki której tokeny App Check będą jednorazowe. Ta opcja zapewnia silniejszą ochronę niż ochrona podstawowa i pozwala ustawić odpowiedni poziom ochrony aplikacji i przypadków użycia.

Szczegółowe informacje o usłudze App Check znajdziesz w jej dokumentacji, w tym opisy dostawców atestów oraz wszelkie obowiązujące limity.

Skonfiguruj usługę App Check

Poniższe instrukcje są zoptymalizowane pod kątem konfigurowania egzekwowania zasad Firebase App Check w przypadku Firebase AI Logic.

Krok 1. Wymuś App Check

Od początku lipca 2026 r. podczas konfiguracji z pomocą w konsoli Firebase Firebase będzie automatycznie wymuszać Firebase App Check dla Firebase AI Logic, aby chronić Gemini API.

Jeśli jednak usługa Firebase AI Logic została skonfigurowana w projekcie Firebase przed początkiem lipca 2026 r. (lub usługa App Check nie jest wymuszana z innego powodu), możesz wymusić usługę App Check samodzielnie, korzystając z poniższych instrukcji.

1. Sprawdź, czy zasada App Check jest już egzekwowana w przypadku Firebase AI Logic.

   1. W konsoli Firebase otwórz kartę Zabezpieczenia > Sprawdzanie aplikacji > Interfejsy API.

   2. Znajdź wiersz Firebase AI Logic. Jeśli widzisz Unenforced, wykonaj pozostałe instrukcje.

2. Kliknij wiersz Firebase AI Logic, aby wyświetlić wykresy danych. Pod tymi wykresami kliknij Skonfiguruj.

3. Na pierwszym ekranie okna (Ochrona podstawowa) wybierz Wymuszona, a następnie kliknij Dalej.

4. Na następnym ekranie (Ochrona przed powtórzeniem) wybierz Wyłączona, a następnie kliknij Dalej.

5. Na ostatnim ekranie zapoznaj się z kwestiami dotyczącymi egzekwowania App Check, aby upewnić się, że możesz wymusić App Check. Jeśli wszystko jest gotowe, kliknij Dalej.

   Nie musisz rejestrować aplikacji, jeśli chcesz tylko wymusić App Check i wyłącznie używać dostawcy debugowania z Firebase AI Logic w aplikacji w wersji przedprodukcyjnej. Gdy jednak będziesz gotowy(-a) do udostępnienia aplikacji użytkownikom, musisz zarejestrować aplikacje w ramach konfigurowania dostawcy atestu produkcyjnego (takiego jak App Attest, Play Integrity lub reCAPTCHA Enterprise).

Krok 2. Skonfiguruj dostawcę debugowania na potrzeby programowania lokalnego

W przypadku lokalnego programowania możesz skonfigurować App Check dostawcę debugowania i nadal wymuszać App Check w Firebase AI Logic.

Krok 3. Skonfiguruj App Check dla użytkowników i środowiska produkcyjnego

Gdy będziesz gotowy(-a) do udostępnienia aplikacji użytkownikom, musisz ją zarejestrować i skonfigurować dostawcę atestów produkcyjnych (np. App Attest, Play Integrity lub reCAPTCHA Enterprise).

1. Wybierz dostawcę atestów produkcyjnych i postępuj zgodnie z instrukcjami implementacji pod tymi linkami:

   • Platformy Apple: DeviceCheck, App Attest lub reCAPTCHA Enterprise
   • Android: Play Integrity lub reCAPTCHA Enterprise
   • Przeglądarka: reCAPTCHA Enterprise
   • Flutter: obsługuje wszystkich dostawców wymienionych powyżej, w tym reCAPTCHA Enterprise
     . Jeśli używasz starszych wersji wtyczki, zapoznaj się z uwagą o specjalnej instancji poniżej dotyczącą Fluttera i App Check.
   • Unity: obsługuje wszystkich dostawców wymienionych powyżej (obsługa reCAPTCHA Enterprise już wkrótce).

   Jeśli żaden z tych dostawców atestacji nie spełnia Twoich potrzeb, możesz wdrożyć dostawcę niestandardowego, który korzysta z zewnętrznego dostawcy atestacji lub Twoich własnych technik atestacji.

2. (Zalecane) Zwiększ ochronę, dodając ochronę przed powtórzeniami, co oznacza, że token App Check może zostać użyty tylko raz.

// ...

// During instantiation, enable usage of limited-use tokens
final ai = await FirebaseAI.googleAI(
  // For Flutter plugin v3.11.0 or lower (BoM v4.12.0 or lower), pass in App Check explicitly.
  appCheck: FirebaseAppCheck.instance,
  useLimitedUseAppCheckTokens: true,
);

// ...

Zwiększanie ochrony przez dodanie ochrony przed powtórnym odtwarzaniem

Domyślnie App Check używa tokenów sesji, które mają konfigurowalny czas życia (TTL) od 30 minut do 7 dni. Te tokeny sesji są przechowywane w pamięci podręcznej pakietu SDK App Check, są wysyłane wraz z żądaniami z aplikacji i mogą być używane ponownie, dopóki nie wygaśnie ich czas życia. Używanie tokenów sesji jest uważane za podstawową ochronę.

Możesz jednak zwiększyć poziom ochrony, wymuszając ochronę przed powtórzeniami, która używa tokenów o ograniczonym użyciu. Gdy ochrona przed powtórzeniem jest wymuszana, dzieje się tak:

• App Check będzie blokować żądania do Firebase AI Logic, które używają tokenów sesji. Zamiast tego App Check będzie zezwalać na żądanie do Firebase AI Logic tylko wtedy, gdy będzie ono używać nowo wygenerowanego tokena o ograniczonym użyciu.

• Po zweryfikowaniu tokena o ograniczonym użyciu jest on wykorzystywany, dzięki czemu można go użyć tylko raz, co zapobiega atakom typu replay.

• Pakiet SDK App Check generuje nowy token o ograniczonym użyciu dla każdego żądania. Pamiętaj, że ten proces może wpłynąć na Twoje żądania, powodując pewne opóźnienia, a czasem koszty (w zależności od dostawcy atestu).

Konfigurowanie i egzekwowanie ochrony przed powtórzeniami

Aby skonfigurować i egzekwować ochronę przed powtórzeniami:

1. Jeśli nie masz jeszcze skonfigurowanej usługi App Check, skonfiguruj ją zgodnie z instrukcjami podanymi powyżej.

2. Włącz korzystanie z tokenów o ograniczonym użyciu.

   W aplikacji podczas tworzenia instancji ustaw parametr useLimitedUseAppCheckTokens na true:

   Swift

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   let ai = FirebaseAI.firebaseAI(
     backend: .googleAI(),
     useLimitedUseAppCheckTokens: true
   )
   
   // ...
   
   

   Kotlin

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   val ai = Firebase.ai(
     backend = GenerativeBackend.googleAI(),
     useLimitedUseAppCheckTokens = true
   )
   
   // ...
   
   

   Java

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   FirebaseAI ai = FirebaseAI.getInstance(
     /* backend: */ GenerativeBackend.googleAI(),
     /* useLimitedUseAppCheckTokens: */ true
   );
   
   // ...
   
   

   Web

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   const ai = getAI(firebaseApp, {
     backend: new GoogleAIBackend(),
     useLimitedUseAppCheckTokens: true
   });
   
   // ...
   
   

   Dart

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   final ai = await FirebaseAI.googleAI(
     useLimitedUseAppCheckTokens: true,
   );
   
   // ...
   
   

   Unity

   // ...
   
   // During instantiation, enable usage of limited-use tokens
   var ai = FirebaseAI.GetInstance(
     useLimitedUseAppCheckTokens: true
   );
   
   // ...
   

3. Egzekwuj ochronę przed powtórnym odtwarzaniem.

   1. W bazie kodu aplikacji upewnij się, że masz włączone używanie tokenów o ograniczonym użyciu (patrz poprzedni krok).

   2. W konsoli Firebase otwórz Zabezpieczenia > Sprawdzanie aplikacji.

   3. Rozwiń widok danych dla: Firebase AI Logic.

   4. Sprawdź, czy Ochrona podstawowa jest egzekwowana, a następnie kliknij Dalej.

   5. W przypadku ochrony przed powtórzeniami wybierz Nieegzekwowana (tylko monitorowanie) lub Egzekwowana.

      Aby zdecydować, kiedy wymusić ochronę przed powtórzeniami, weź pod uwagę te kwestie:

      • Zalecamy monitorowanie żądań, jeśli znaczna liczba użytkowników prawdopodobnie korzysta z wcześniejszych wersji aplikacji bez włączonych tokenów o ograniczonym użyciu. Jeśli natychmiast wymusisz ochronę przed powtórzeniami, żądania od tych użytkowników będą blokowane.

      • Możesz monitorować wskaźnik Niezweryfikowane: token użyty ponownie, który określa liczbę żądań z tokenem, który został już użyty w poprzednim żądaniu. Możesz monitorować ten wskaźnik w konsoli Firebase (kliknij Zabezpieczenia > Sprawdzanie aplikacji > karta Interfejsy API).

        Jeśli znaczna część ostatnich żądań należy do tej kategorii, możesz uniknąć zakłócania działania aplikacji u użytkowników i poczekać z egzekwowaniem ochrony przed powtórzeniem, aż więcej użytkowników zaktualizuje aplikację do wersji, która używa tokenów o ograniczonym użyciu.

Dowiedz się, jak Firebase AI Logic integruje się z App Check

Aby korzystać z pakietów SDK Firebase AI Logic, w projekcie w Firebase musi być włączony interfejs Firebase AI Logic API (firebasevertexai.googleapis.com). Dzieje się tak, ponieważ żądania wysyłane przez pakiety SDK Firebase AI Logic są najpierw wysyłane do serwera Firebase AI Logic, który działa jako brama proxy, gdzie odbywa się weryfikacja Firebase App Check, zanim żądanie zostanie przekazane do Gemini API i uzyska dostęp do modeli Gemini.

Najczęstsze pytania i rozwiązywanie problemów

Znajdź dodatkowe najczęstsze pytania i rozwiązania problemów lub kody błędów związane z usługą Firebase AI Logic.