Google Play预启动报告提示GCP API密钥泄露，求解决方案

1. Gradle Secrets存密钥是否足够？是否属于误报？ #

• 用secrets.properties配合Gradle Secrets插件存储密钥是有效的，因为这个文件不会被打包进APK，代码中不会直接出现硬编码的密钥。但Google Play的预启动扫描大概率不是误报：Web Service API的密钥本身无法像Android SDK密钥那样通过应用签名包名做限制，只要应用发起网络请求，密钥就会在请求参数中出现，存在被抓包获取的风险，扫描工具正是检测到了这种潜在的暴露风险。

2. 需要采取的进一步安全措施 #

• 给GCP密钥添加严格限制：在GCP控制台的API密钥管理页面，给这个Web Service密钥设置两个关键限制：
  • 首先是API服务限制：只勾选「Places API（Web Service）」，避免密钥被用于其他GCP服务；
  • 如果架构允许，优先做IP地址限制：搭建自己的后端服务，让客户端把地点请求发给后端，再由后端用受限密钥调用Google Web Service，此时只需要把后端服务器的IP地址添加到密钥的IP白名单中，彻底杜绝客户端侧的密钥暴露风险。
• 确保密钥不流入版本控制：在.gitignore文件中添加secrets.properties，避免密钥被提交到代码仓库。
• 请求签名验证（可选）：如果必须直接从客户端调用Web Service，可以在请求中加入自定义签名参数（比如基于请求参数和本地密钥生成的哈希值），同时在GCP侧设置API网关或自己的后端验证签名，增加密钥被滥用的门槛。

3. Place Details多语言需求的优化方案 #

• 先确认Android Places SDK的语言设置：你提到的Android SDK无法指定语言的问题，其实最新版本的Places Android SDK支持两种方式设置语言：
  • 全局设置：初始化时指定Locale：Places.initialize(context, apiKey, Locale.CHINESE)；
  • 单请求设置：发起FetchPlace请求时单独指定：

    val request = FetchPlaceRequest.builder(placeId, fields)
        .setLocale(Locale.FRENCH)
        .build()
    

  建议升级到最新版的Places Android SDK再测试，大概率能满足多语言需求。
• 如果坚持使用Web Service版本，务必通过后端中转请求，这样客户端完全不会接触到GCP密钥，从根源上解决泄露风险，同时后端可以统一处理多语言参数的传递。

内容的提问来源于stack exchange，提问作者Chi Chan