เปิดใช้การบังคับใช้ App Check

เมื่อคุณ เข้าใจว่า App Check จะส่งผลต่อผู้ใช้ อย่างไรและพร้อมที่จะดำเนินการต่อแล้ว คุณก็เปิดใช้การบังคับใช้ App Check ได้

ขั้นตอนต่อไปนี้อธิบายวิธีเปิดใช้การบังคับใช้สำหรับ Firebase AI Logic, SQL Connect, Realtime Database, Cloud Firestore, Cloud Storage, Authentication, Google Identity for iOS, Maps JavaScript API และ Places API (ใหม่) เมื่อเปิดใช้การบังคับใช้สำหรับผลิตภัณฑ์แล้ว ระบบจะปฏิเสธคำขอทั้งหมดที่ ไม่ได้รับการยืนยัน ที่ส่งไปยังผลิตภัณฑ์นั้น

  1. ในคอนโซล Firebase ให้ไปที่ความปลอดภัย > App Check

  2. ขยายมุมมองเมตริกของผลิตภัณฑ์ที่ต้องการเปิดใช้การบังคับใช้

  3. คลิกบังคับใช้ แล้วยืนยันตัวเลือก

โปรดทราบว่าหลังจากเปิดใช้การบังคับใช้แล้ว ระบบอาจใช้เวลาถึง 15 นาทีก่อนที่การบังคับใช้จะมีผล

การป้องกันการเล่นซ้ำ (เบต้า)

โดยค่าเริ่มต้น App Check จะใช้ โทเค็นเซสชัน ซึ่งมี Time To Live (TTL) ที่กำหนดค่าได้ระหว่าง 30 นาที ถึง 7 วัน App CheckSDK จะแคชโทเค็นเซสชันเหล่านี้ ส่งโทเค็นไปพร้อมกับ คำขอจากแอป และนำโทเค็นกลับมาใช้ซ้ำได้จนกว่า TTL จะหมดอายุ การใช้โทเค็นเซสชันถือเป็นการ ป้องกันพื้นฐาน

หากต้องการเพิ่มการป้องกันนอกเหนือจากการป้องกันพื้นฐานที่ App Check มีให้ คุณสามารถบังคับใช้ การป้องกันการเล่นซ้ำ ได้ สิ่งที่จะเกิดขึ้นเมื่อคุณบังคับใช้การป้องกันการเล่นซ้ำมีดังนี้

  • App Check App Check จะบล็อก คำขอที่ส่งไปยัง API ที่ได้รับการปกป้องซึ่งใช้ โทเค็นเซสชัน แต่ App Check จะ อนุญาต เฉพาะคำขอที่ส่งไปยัง API ที่ได้รับการปกป้องซึ่งใช้ โทเค็นที่จำกัดการใช้ที่ออกใหม่ ดูวิธีเปิดใช้การใช้โทเค็นแบบใช้ครั้งเดียวในแอปได้ในเอกสารประกอบเฉพาะผลิตภัณฑ์

  • หลังจากยืนยันโทเค็นที่จำกัดการใช้แล้ว ระบบจะใช้โทเค็นนั้นเพื่อให้ใช้ได้เพียงครั้งเดียว ซึ่งจะป้องกันการโจมตีแบบเล่นซ้ำ

  • App Check SDK จะสร้างโทเค็นใหม่สำหรับ แต่ละ คำขอ กระบวนการนี้อาจส่งผลต่อคำขอของคุณโดยการเพิ่มเวลาในการตอบสนองและบางครั้งอาจมีค่าใช้จ่าย (ขึ้นอยู่กับผู้ให้บริการรับรอง)

วิธีบังคับใช้การป้องกันการเล่นซ้ำมีดังนี้

  1. เปิดใช้การใช้โทเค็นแบบใช้ครั้งเดียวในฐานของโค้ดของแอป ดูวิธีการเหล่านี้ได้ในเอกสารประกอบเฉพาะผลิตภัณฑ์

  2. ในคอนโซล Firebase ให้ไปที่ความปลอดภัย > App Check

  3. ขยายมุมมองเมตริกสำหรับ API ที่ได้รับการปกป้อง

  4. ตรวจสอบว่า การป้องกันพื้นฐาน บังคับใช้ แล้ว จากนั้นคลิก ต่อไป

  5. สำหรับการป้องกันการเล่นซ้ำ ให้เลือกไม่บังคับใช้ (ตรวจสอบเท่านั้น) หรือบังคับใช้

    พิจารณาสิ่งต่อไปนี้เพื่อตัดสินใจว่าจะบังคับใช้การป้องกันการเล่นซ้ำเมื่อใด

    • เราขอแนะนำให้ตรวจสอบคำขอหากผู้ใช้จำนวนมากมีแนวโน้มที่จะใช้แอปเวอร์ชันก่อนหน้าโดยไม่ได้เปิดใช้โทเค็นแบบใช้ครั้งเดียว หากคุณบังคับใช้การป้องกันการเล่นซ้ำทันที ระบบจะบล็อกคำขอจากผู้ใช้เหล่านั้น

    • ในแท็บความปลอดภัย > App Check > API ของคอนโซลFirebase คุณสามารถตรวจสอบเมตริก ไม่ได้รับการยืนยัน: โทเค็นที่ใช้ซ้ำ ซึ่งเป็นจำนวน คำขอที่มีโทเค็นที่ใช้ไปแล้วใน คำขอก่อนหน้า หากคำขอที่ส่งล่าสุดส่วนใหญ่เป็นคำขอในหมวดหมู่นี้ คุณควรหลีกเลี่ยงการขัดขวางผู้ใช้และพิจารณารอให้ผู้ใช้จำนวนมากขึ้นอัปเดตแอปก่อนที่จะเปิดใช้การบังคับใช้