如何在 Android 上安全地使用 Google Map API 密钥？

Question

为了不暴露我的 Google 地图 API 密钥，最好不要将 API 密钥包含在 Android 应用程序存储库本身中。如果应用程序中没有 API 密钥，我该如何使用 Google 地图？将 API 密钥存储在服务器中是可行的方法，那么我是否可以在应用程序 init 上进行网络调用并请求 API 密钥？从服务器获取响应后，将 API 密钥存储在共享首选项中？这是我能想到的唯一方法，但如果它存储在共享首选项中，我相信可以通过逆向工程读取共享首选项中的值来获取 API 密钥。谁能告诉我使用 API 密钥的安全方法是什么，谢谢。

Answer 1

Google Maps Platform 文档中描述了 Android 应用程序中 Google Maps Platform API 密钥的安全使用：

https://developers.google.com/maps/documentation/android-sdk/get-api-key#restrict_key

诀窍是应用 Android 应用程序限制，其中包含应用程序的包名称和证书的 SHA-1 指纹。此限制是在您的 Google Cloud 控制台中设置的，不会在源代码中的任何位置公开。

如果有人尝试以未经授权的方式使用您的 API 密钥，他们会收到错误消息，因为他们需要您的私有证书才能使 API 密钥发挥作用。

因此，如果您正确设置了 Android 限制，则在源代码中添加 API 密钥是没有问题的。

另外，我建议您查看 API 密钥最佳实践文章：

https://developers.google.com/maps/api-key-best-practices

希望我的回答能够解答您的疑问。