从 Android 应用到 Google Cloud Engine 应用的 HTTP 请求的身份验证答案

【问题标题】：Authentication of HTTP request from an Android App to A Google Cloud Engine App从 Android 应用到 Google Cloud Engine 应用的 HTTP 请求的身份验证
【发布时间】：2018-05-03 21:31:09
【问题描述】：

我计划开发一个 Android 应用程序，它将向托管在 Google App Engine 上的 REST API（服务器应用程序）发出 HTTP 请求。数据检索对应用程序的所有用户都是通用的和可见的，因此用户级别的身份验证似乎没有必要。我担心的是，服务器应用程序是否有必要验证请求确实来自预期的 Android 应用程序？如果是这样，这是由库内部完成的还是我需要自己实现？一些关于这个主题的阅读材料会很有帮助。

查看 Google 文档表明，使用服务帐户似乎是合适的，但让我感到困扰的是，我需要将凭据与 Android 应用程序一起打包，这在某些方面似乎违背了身份验证的目的请求，因为从 apk 中检索凭据相对容易。

任何设计方面的指导将不胜感激。

【问题讨论】：

标签： java android rest google-app-engine authentication

【解决方案1】：

似乎 API Keys 就是答案。可以选择 API Keys 在创建过程中限制到某个 Android 应用程序。

参考：https://cloud.google.com/endpoints/docs/frameworks/java/restricting-api-access-with-api-keys-frameworks

【讨论】：