泄露的 AWS 凭证、Amazon Web 服务凭证可能暴露 - Google Play 控制台

Question

最近，我向 google play store 提交 android 申请被拒绝。

当我的应用程序从 AWS S3 上传/下载时，我将 S3_ACCESS_KEY 和 S3_SECRET_KEY 放入我的构建配置文件中，使用旧版本的 AWS SDK，我可以成功上传/下载。

我搜索了一些替代解决方案，例如放大，或设置服务器来处理它。

有什么非常简单，快速的解决方案可以解决问题吗？

泄露的 AWS 凭证

您的应用程序包含公开的 Amazon Web 服务凭证。

弱势阶层：

sv：截止日期：2022 年 4 月 16 日

Amazon Web 服务凭证可能会暴露

您的 Amazon Web 服务凭证可能会暴露。

您的凭证的这种暴露可能会导致对您的 AWS 账户的未经授权的访问，这可能包括相关的额外费用，以及对您的数据和用户数据的未经授权的访问。

错误的参考图片

Answer 1

在任何客户端应用程序中嵌入 AWS 凭证是一个可怕的想法。 为了解决这一挑战，您必须使用 CloudFront 或 S3 签名 URL。

这种方法需要在您的一个 API 中生成短暂的上传/下载 URL，以便它可以将 URL 发送回客户端应用程序，我们可以在其中直接向 S3 存储桶上传/下载资产/从 S3 存储桶下载资产。

它使我们能够避免在客户端应用程序上对 AWS 凭证进行硬编码，并拥有专门用于按需一次性上传/下载操作的动态短期 URL。

这应该不难，您可以按照本教程了解有关 S3 签名 url 的更多信息。