Я только что зарегистрировался в Firebase и создал новый проект. Firebase попросила меня указать домен моего приложения и ключ отладки SHA1. Я ввожу эти данные, и он сгенерировал файл google-services.json, который я мог добавить в корень моего модуля приложения.
У меня вопрос, следует ли добавить этот файл .json в общедоступное (с открытым исходным кодом) репо. Это что-то, что должно быть секретным, например, ключ API?
Ответы:
google-services.jsonФайл, из дока Firebase :
Firebase управляет всеми вашими настройками API и учетными данными через один файл конфигурации.
Файл называетсяgoogle-services.jsonна Android иGoogleService-Info.plistiOS.
Кажется, имеет смысл добавить его в a, .gitignoreа не включать в публичное репо.
Это обсуждалось в выпуске 26 с более подробной информацией о том, что google-services.jsonсодержит.
Проект , как googlesamples/google-servicesимеет это в его.gitignore , например.
Хотя, как заметил по stepheaw , эта нить делает упоминание
Для библиотеки или образца с открытым исходным кодом мы не включаем файл JSON, потому что намерение состоит в том, чтобы пользователи вставляли свой собственный, чтобы указать код на свой собственный сервер.
Вот почему вы не увидите файлы JSON в большинстве наших репозиториев firebase на GitHub.
Если «URL-адрес базы данных, ключ Android API и сегмент хранилища» для вас не секрет, вы можете рассмотреть возможность добавления файла в репозиторий.
Как упоминалось в разделе « Безопасен ли google-services.json от хакеров? », Это не так просто.
baueric спрашивает в комментариях :
В этом посте он говорит:
Файл JSON не содержит сверхсекретной информации (например, ключа API сервера).
Но
google-services.jsonесть записьapi_key.
Это другой ключ api, чем "server api key"?
Вилли Чалмерс III указывает на вопрос « Безопасен ли google-services.json от хакеров? » И добавляет:
Да, этот ключ API не является ключом API сервера, который никогда не должен быть общедоступным, поэтому ничего страшного, если
google-services.jsonон виден другим.В любом случае вам все равно следует ограничить использование ключа клиентского API в консоли Google Cloud.
google-services.jsonесть вызываемая запись api_key. Это другой ключ api, чем "ключ api сервера"?
google-services.jsonон виден другим. В любом случае вам все равно следует ограничить использование ключа клиентского API в консоли Google Cloud.
Из этого обсуждения кажется, что вы можете добавить его в публичное репо. Его содержимое все равно попадает в APK, и его, вероятно, легко извлечь.
google-services.jsonследует ли использовать систему контроля версий в общедоступном репозитории с открытым исходным кодом . И в подавляющем большинстве случаев ответ определенно НЕТ - если только владелец репо не хочет, чтобы весь мир по умолчанию использовал квоту API учетной записи Google. Ответ @VonC стоит.