如何移除Flutter应用源码中的Google服务配置文件并实现运行时下载

一、给安全团队的解释：为什么这些配置文件放在源码里没风险 #

• 配置文件不含核心敏感信息：google-services.json和GoogleService-Info.plist里的内容都是项目ID、应用包名/Bundle ID、受限API密钥这类公开级别的配置——这里的API密钥都可以在谷歌云控制台设置应用限制（绑定你的应用包名、签名），第三方就算拿到也没法滥用，真正需要保密的是后端服务账号密钥，那东西本来就不会出现在客户端源码里。
• 谷歌官方认可的标准做法：谷歌的文档明确要求把这些文件放在客户端项目里，因为它们是客户端初始化服务的必要配置，而且本身就是设计成可被公开获取的——就算你把文件移到服务器下载，只要应用发布，攻击者照样能通过反编译APK/IPA拿到这些内容，移走根本没提升安全性，反而多了启动失败的风险（比如网络不好下载不了）。
• 可通过控制台强化安全：你可以登录谷歌云控制台，给配置里的API密钥加上严格的应用限制，比如只允许你的应用包名调用，就算配置文件泄露，别人也用不了你的服务资源。

二、如果一定要做运行时下载的操作（不推荐，仅作参考） #

Flutter没有统一的跨平台API处理这个，必须分别写原生代码：

Android端步骤 #

1. 把google-services.json下载到应用的私有存储目录（比如getFilesDir()路径下）
2. 手动初始化Firebase，不能依赖插件自动读文件：

   // 读取下载好的配置文件
   val jsonFile = File(filesDir, "google-services.json")
   val firebaseOptions = FirebaseOptions.fromJson(FileInputStream(jsonFile))
   FirebaseApp.initializeApp(this, firebaseOptions)
   

3. 要在Flutter引擎启动前完成这个初始化，或者确保Flutter调用Firebase服务前初始化完成。

iOS端步骤 #

1. 下载GoogleService-Info.plist到应用的Documents目录
2. 解析plist文件，手动构造FirebaseOptions并初始化：

   let plistPath = NSSearchPathForDirectoriesInDomains(.documentDirectory, .userDomainMask, true)[0] + "/GoogleService-Info.plist"
   guard let plistDict = NSDictionary(contentsOfFile: plistPath) as? [String: Any] else { return }
   let firebaseOptions = FirebaseOptions(
       googleAppID: plistDict["GOOGLE_APP_ID"] as! String,
       gcmSenderID: plistDict["GCM_SENDER_ID"] as! String,
       apiKey: plistDict["API_KEY"] as! String,
       projectID: plistDict["PROJECT_ID"] as! String,
       bundleID: plistDict["BUNDLE_ID"] as! String
       // 其他需要的字段从plist里对应提取
   )
   FirebaseApp.configure(options: firebaseOptions)
   

3. 同样要保证在Flutter代码调用Firebase服务前完成初始化。

Flutter端配合 #

需要写一个MethodChannel，让Flutter触发下载配置文件的操作，然后通知原生端执行初始化，之后再调用Firebase相关的Flutter插件。

另外，你找不到初始化代码是因为Flutter的Firebase插件（比如firebase_core）默认会自动读取原生项目里的配置文件，所以没有显式代码。如果要改成手动初始化，得先禁用自动初始化：

• Android端在AndroidManifest.xml里添加：

  <meta-data android:name="firebase_analytics_collection_enabled" android:value="false" />
  <meta-data android:name="firebase_crashlytics_collection_enabled" android:value="false" />
  <!-- 其他Firebase服务的自动初始化开关，参照对应插件文档添加 -->
  

• iOS端在Info.plist里添加对应的禁用键值。

内容的提问来源于stack exchange，提问作者Flarosa