Flutter iOS项目构建IPA时如何隐藏GoogleService-Info.plist内容？

首先得明确：IPA包本身可被解压查看资源文件，没法完全把plist藏起来，但可以通过以下方法降低敏感信息泄露的风险，甚至让泄露的密钥无法被滥用：

• 给Firebase API密钥添加使用限制
  这是最核心的防护手段，就算密钥被获取，也没法在未授权的场景下使用。操作步骤：
  打开Firebase控制台，进入项目设置→常规→API密钥，找到对应iOS应用的密钥并点击编辑。添加UAT和Production环境的Bundle ID，还可按需限制允许调用的域名。设置后只有你的应用能使用该密钥，他人拿到也无效。

• 将敏感操作转移到后端，客户端避免持有API密钥
  FCM客户端仅需GoogleService-Info.plist里的GCM_SENDER_ID、CLIENT_ID等少数字段就能接收消息。如果你的应用有需要API密钥的Firebase操作（比如实时数据库、存储读写），可把这些逻辑放到自己的后端服务中，客户端只和后端交互，完全不接触API密钥，从根源避免泄露。

• 构建时自动精简plist，移除不必要的敏感字段
  可以在Xcode中添加构建脚本，打包阶段自动生成仅保留必需字段的精简版plist，替换原文件：

  1. 打开Xcode的Runner项目，选择Target→Build Phases，点击加号添加Run Script
  2. 粘贴以下脚本（可根据需求调整要删除的字段）：

     # 复制原始plist到临时文件
     cp "${SRCROOT}/GoogleService-Info.plist" "${BUILD_DIR}/GoogleService-Info-Stripped.plist"
     # 删除API_KEY字段，可按需添加其他敏感字段的删除命令
     /usr/libexec/PlistBuddy -c "Delete :API_KEY" "${BUILD_DIR}/GoogleService-Info-Stripped.plist"
     # 用精简后的plist替换包内的原文件
     cp "${BUILD_DIR}/GoogleService-Info-Stripped.plist" "${TARGET_BUILD_DIR}/${PRODUCT_NAME}.app/GoogleService-Info.plist"
     

  注意：先测试精简后的plist是否会影响FCM正常运行，避免误删必需字段。

• 用Xcode配置管理多环境，不直接存放完整plist
  给Xcode创建UAT和Production两个Configuration，将plist里的关键字段设为环境变量，然后在Flutter端通过MethodChannel获取这些变量，手动初始化Firebase。这种方式下，客户端包内不会有完整的plist文件，自然不会泄露敏感信息。不过需要自行编写初始化代码，无法使用Firebase的自动配置。

内容的提问来源于stack exchange，提问作者Danish Ghazi