Google云端存储身份验证

Question

我构建了Google云端存储的Android应用链接.我想只允许访问GCS到我的Android应用程序.

Google提供三种安全连接到GCS的解决方案:

• Oauth 2.0(所以谷歌帐户)
• 基于Cookie的帐户(也使用谷歌帐户)
• 服务帐户身份验证(使用私钥,但在Android应用程序上本地安装:如果有人反编译我的.apk,则非常糟糕)

来源:https://developers.google.com/storage/docs/authentication？hl = FR

有没有其他解决方案可以通过GCS安全连接？我想以这种方式连接GCS(限制为Android客户端ID:SHA1到您的.apk):https://developers.google.com/appengine/docs/java/endpoints/auth

GCS有可能吗？我应该使用Blobstore吗？

提前致谢

Answer 1

这是计算的一个基本问题。您永远不能完全相信在未知第三方完全控制的硬件上运行的应用程序没有受到某种程度的篡改。有很多很多技术可以使篡改变得更加困难，但远程系统永远不会完全安全。有多种方法可以验证用户是否拥有特定的 Google 帐户，但您无法轻松确定某个应用程序正是您的应用程序。

也就是说，有很多方法可以在不信任客户端的情况下设计安全的应用程序。您的应用程序需要获得授权才能执行什么操作？上传对象？下载安全对象？伪装成您的应用程序的用户是否会做一些坏事？