Flutter开源应用防篡改：如何限制Firebase仅接受自有签名应用连接？

别人修改并构建你的Flutter应用后，默认可以连接你的Firebase后端，但你能通过应用签名验证+Firebase安全规则，限制仅你签名的应用才能访问。

1. Android端应用签名验证 #

• 获取签名证书指纹：
  用命令行执行：keytool -list -v -keystore 你的签名文件路径 -alias 签名别名，复制输出里的SHA-256指纹；也可以在Android Studio的Build > Generate Signed Bundle/APK流程中查看。
  登录Firebase控制台，进入项目设置→对应Android应用，添加刚才获取的SHA-256指纹。
• 配置Firebase安全规则：
  以Firestore为例，规则可写为：

  rules_version = '2';
  service cloud.firestore {
    match /databases/{database}/documents {
      match /{document=**} {
        allow read, write: if request.auth != null && 
          request.app != null &&
          request.app.signing_certificates.sha256 == "你的SHA-256指纹";
      }
    }
  }
  

  只有用你签名证书构建的Android应用，才能通过规则校验。

2. iOS端应用签名验证 #

• 准备应用信息：在Xcode项目设置或Apple开发者后台，获取你的应用Bundle ID和团队ID，确保Firebase控制台的iOS应用配置里已正确填写这两项。
• 扩展安全规则：
  同样以Firestore为例，规则可扩展为：

  rules_version = '2';
  service cloud.firestore {
    match /databases/{database}/documents {
      match /{document=**} {
        allow read, write: if request.auth != null && 
          (
            (request.app != null && request.app.signing_certificates.sha256 == "Android的SHA-256指纹") ||
            (request.app != null && request.app.bundle_id == "你的iOS Bundle ID")
          );
      }
    }
  }
  

  Firebase会自动验证iOS请求是否来自对应Bundle ID的合法签名应用。

3. 额外安全加固建议 #

• 避免在客户端硬存敏感信息：Firebase的Web API密钥本身是公开的，核心安全依赖规则，不用刻意隐藏，但签名文件、keystore密码这类信息必须严格保管。
• 结合用户身份验证：要求用户通过Firebase Auth登录，再配合规则限制用户数据访问范围，形成双重防护。
• 定期更新指纹：如果更换签名证书，务必及时在Firebase控制台更新指纹，避免自己的应用无法访问。

签名验证仅能阻止未使用你签名证书构建的应用，如果签名证书（如keystore文件）泄露，该机制会失效，所以签名文件和密码一定要妥善保管。Firebase其他服务（如Storage、实时数据库）的规则写法逻辑一致，核心都是校验request.app的属性。

内容的提问来源于stack exchange，提问作者Özgür Özerk