Gdy będziesz gotowy(-a) do uruchomienia aplikacji i udostępnienia jej funkcji opartych na AI prawdziwym użytkownikom, zapoznaj się z tą listą kontrolną sprawdzonych metod i ważnych kwestii.
Ogólne
Zapoznanie się z ogólną listą kontrolną przed wprowadzeniem aplikacji na rynek
Przed opublikowaniem aplikacji w Firebase w wersji produkcyjnej zapoznaj się z listą kontrolną Firebase, aby poznać ważne sprawdzone metody.
Stosowanie sprawdzonych metod dotyczących projektów w Firebase
Używaj osobnych projektów w Firebase do programowania, testowania i produkcji. Zapoznaj się z dodatkowymi sprawdzonymi metodami zarządzania projektami.
Dostęp i bezpieczeństwo
Przeglądanie list kontrolnych zabezpieczeń
Zapoznaj się z listą kontrolną zabezpieczeń Firebase i listą kontrolną zabezpieczeń Firebase AI Logic, aby poznać ważne sprawdzone metody dotyczące dostępu i bezpieczeństwa.
Wymuś Firebase App Check
Wymuś Firebase App Check, aby chronić Gemini API przed nadużyciami, gdy jest wywoływany bezpośrednio z aplikacji. Gdy App Check jest wymuszony, sprawdza, czy przychodzące żądania pochodzą z autentycznej aplikacji lub niezmodyfikowanego urządzenia.
App Check obsługuje dostawców atestów na platformach Apple (DeviceCheck, App Attest lub reCAPTCHA Enterprise), Android (Play Integrity lub reCAPTCHA Enterprise) i w internecie (reCAPTCHA Enterprise). Obsługuje też wszystkich tych dostawców w aplikacjach Flutter i Unity.
Rozważ też wymuszenie ochrony przed powtórzeniami, co oznacza, że tokeny są jednorazowe. Ta opcja zapewnia silniejszą ochronę niż ochrona podstawowa i pozwala ustawić odpowiedni poziom ochrony aplikacji i przypadków użycia.
Konfigurowanie ograniczeń kluczy interfejsu API Firebase
Klucze interfejsu API Firebase identyfikują projekt w Firebase i aplikację podczas wysyłania żądań. Aby zapobiec nieautoryzowanemu użyciu kluczy interfejsu API:
Ustaw „Ograniczenia aplikacji” w konsoli Google Cloud, aby ograniczyć użycie klucza tylko do żądań z określonego identyfikatora pakietu aplikacji (Apple), nazwy pakietu i odcisku cyfrowego SHA-1 (Android) lub odsyłającego adresu HTTP (sieć).
Sprawdź listę dozwolonych „Ograniczeń interfejsów API” dla każdego klucza:
- Upewnij się, że interfejs API Firebase AI Logic (
firebasevertexai.googleapis.com) jest na liście dozwolonych. - Upewnij się, że jedynymi innymi interfejsami API na liście dozwolonych są konkretne usługi Firebase wymagane przez Twoją aplikację. Zobacz listę wymaganych interfejsów API w przypadku kluczy Firebase z ograniczeniami.
- Upewnij się, że interfejs API Firebase AI Logic (
Pamiętaj, że interfejsy API związane z Firebase używają kluczy interfejsu API tylko do identyfikowania projektu lub aplikacji Firebase, a nie do autoryzacji wywoływania interfejsu API.
Ograniczanie żądań tylko do uwierzytelnionych użytkowników
Rozważ wymuszenie trybu uwierzytelnionych użytkowników, aby wszystkie żądania wysyłane przez Firebase AI Logic musiały zawierać prawidłowe dane logowania z Firebase Authentication. Jeśli żądanie pochodzi od nieuwierzytelnionego użytkownika, zostaje odrzucone z błędem 401: unauthenticated.
Monitorowanie, limity i rozliczenia
Konfigurowanie monitorowania wykorzystania AI w konsoli Firebase
Skonfiguruj monitorowanie wykorzystania AI w konsoli Firebase, aby uzyskać wgląd w kluczowe wskaźniki skuteczności, takie jak liczba żądań, czas oczekiwania, wykorzystanie tokenów i wskaźniki błędów. Możesz też sprawdzać poszczególne logi czasu oczekiwania w konsoli Google Cloud.
Ustawianie ograniczania liczby żądań i zarządzanie limitami
Chroń projekt przed nieoczekiwanymi skokami wykorzystania i atakami typu denial-of-wallet:
- Ustaw limity liczby żądań na użytkownika (domyślnie 100 RPM), aby zapobiec nadmiernemu wykorzystaniu limitu przez poszczególne instancje klienta.
- Sprawdź limity projektu i zarządzaj nimi w konsoli Google Cloud dla każdego powiązanego interfejsu API.
Unikanie niespodziewanych rachunków dzięki alertom i limitom wydatków
Jeśli Twój projekt w Firebase jest objęty abonamentem Blaze (płatność według wykorzystania):
Skonfiguruj alerty dotyczące budżetu i limity wydatków.
Zarządzanie konfiguracjami
Używanie stabilnej wersji modelu w aplikacji produkcyjnej
W aplikacji produkcyjnej używaj tylko stabilnych wersji modeli (takich jak gemini-3.8-flash). Nie używaj wersji testowej ani eksperymentalnej ani aliasu -latest
Używanie szablonów promptów Firebase Remote Config lub serwera
Gdy używasz szablonów promptów Remote Config lub serwera, możesz kontrolować ważne konfiguracje funkcji opartych na AI w aplikacji w chmurze (po stronie serwera), zamiast kodować wartości na stałe w kodzie. Oznacza to, że możesz aktualizować konfiguracje bez konieczności publikowania nowej wersji aplikacji.
(Zdecydowanie zalecane) Wprowadzaj zmiany na żądanie w nazwie modelu używanej w funkcji AI, gdy pojawiają się nowe modele lub inne są wycofywane. Zobacz szczegółowe informacje o korzystaniu z Remote Config lub szablonów promptów serwera.
(Opcjonalnie) Dynamicznie, a nawet warunkowo, kontroluj inne parametry funkcji opartej na AI, np. konfigurację modelu (np. maksymalną liczbę tokenów wyjściowych), ustawienia bezpieczeństwa, instrukcje systemowe i dane promptu. Zobacz szczegółowe informacje o korzystaniu z Remote Config lub szablonów promptów serwera.
(Opcjonalnie) Ustaw parametr
minimum_versionw Remote Config, aby porównać bieżącą wersję aplikacji z najnowszą wersją zdefiniowaną w Remote Config i wyświetlić użytkownikom powiadomienie o aktualizacji lub wymusić na nich aktualizację.
Ustawianie lokalizacji na potrzeby uzyskiwania dostępu do modelu
| Dostępne tylko wtedy, gdy dostawcą interfejsu API jest Agent Platform Gemini API (formerly Vertex AI). |
Ustaw lokalizację dostępu do modelu, aby zoptymalizować limity i zapobiec opóźnieniom dla użytkowników.
Jeśli nie określisz lokalizacji, domyślnie zostanie użyta lokalizacja global (w przypadku korzystania z nowej składni inicjowania „Agent Platform”). Możesz ustawić tę lokalizację podczas inicjowania lub opcjonalnie użyć Firebase Remote Config, aby dynamicznie zmieniać lokalizację na podstawie lokalizacji każdego użytkownika.