Flutter应用中使用Google Maps API Key的最佳实践及安全性咨询

AI 小北

2026-6-20

关于Flutter Google Maps API Key在Android端的安全问题

直接把API Key硬编码在AndroidManifest.xml或者res/values配置文件里，打包发布后确实有被暴露的风险——任何人只要反编译你的APK，就能轻松提取出这个Key。不过你可以通过以下几种方式降低甚至消除风险：

给API Key设置严格的使用限制
在Google Cloud控制台找到你的Maps API Key，设置应用限制为Android应用，填入你的Flutter应用的包名和签名SHA-1指纹（包括debug和release版本的指纹）。这样就算Key被泄露，其他应用也无法用这个Key调用Google Maps服务，从根源上限制了滥用风险。
通过本地配置文件+Gradle注入Key
不要直接在XML文件里写死Key，而是通过Gradle动态注入：
1. 在项目根目录的local.properties文件中添加：
```
MAPS_API_KEY=你的Google Maps API密钥
```
2. 在app/build.gradle的android块中添加配置，读取这个Key并注入到Manifest中：
```
def mapsApiKey = project.properties['MAPS_API_KEY'] ?: ""
android {
    defaultConfig {
        manifestPlaceholders = [MAPS_API_KEY: mapsApiKey]
    }
}
```
3. 最后在AndroidManifest.xml中替换原来的Key为变量：
```
<meta-data
    android:name="com.google.android.geo.API_KEY"
    android:value="${MAPS_API_KEY}" />
```
这样你的源码仓库里不会直接出现API Key（记得把local.properties加入.gitignore），虽然打包后的APK里仍会包含Key，但结合第一点的使用限制，基本不会有安全问题。
后端代理请求（进阶方案）
如果对安全性要求极高，可以搭建自己的后端服务，让客户端的地图相关请求先发送到你的后端，由后端拿着存储的API Key去调用Google Maps接口，再将结果返回给客户端。这种方式完全避免客户端接触到API Key，但需要额外开发维护后端服务，适合有后端开发能力的团队。