Firebase AppCheck VS 黑客和垃圾郵件請求

Question

雖然我完全了解 AppCheck 的使用，但我仍然想知道它如何幫助防止向 API 端點發送垃圾郵件請求。 在黑客使用 OpenBullet 或任何黑客工具每分鍾向特定端點發送數千個請求的情況下（例如，在社交應用程序中創建數千個虛假配置文件的注冊端點）：

一旦黑客從設備上拿到了 appcheck 令牌，他們就不能簡單地將其附加到請求的 header 上，然后向我們通過檢查 appcheck 令牌從后端保護的 api 端點發送他們想要的垃圾郵件嗎？ 我的意思是，只要 TTL 沒有過期，我猜他們所有的請求都會通過檢查，因此他們可以使用他們的黑客工具並假裝來自未經審查的應用程序？ 還是我錯過了什么？

我想一個解決方案是： 1-在來自移動應用程序的每個提取請求上強制刷新 appcheck 令牌 2-在后端成功驗證后以編程方式使接收到的 appcheck 令牌過期，以便進一步的請求需要一個只能是新的從應用程序生成，從而使黑客更難？

任何幫助表示贊賞::)

Answer 1

我會換一種方式說。 雖然 AppCheck 為您的資源提供一定程度的保護，但它不能保證 100% 的保護。 您提供的示例是一個關於如何繞過它的實例。 但不能排除的是，AppCheck 使惡意行為者更難在您的服務周圍漫游並在您的預算范圍內使用它們。

從文檔中查看此部分。 還要看看這個問題，因為它是在你的問題之后提出的，並且有一個對應的 firebaser (Frank)。