React Native应用集成Firebase AppCheck的三类核心技术疑问

针对你在React Native应用中使用Firebase AppCheck防护后端的三个疑问，直接给出明确结论和原因：

1. 为每个请求使用新的Firebase AppCheck令牌是否有用？ #

完全没必要，甚至会起反效果。Firebase AppCheck令牌自带有效期（默认1小时），频繁请求新令牌只会额外增加网络开销，还可能触发Firebase的API调用频率限制。而且官方SDK会自动处理令牌的刷新逻辑，不需要手动为每个请求去获取新令牌。

2. 缓存令牌至其有效期后再更新，以此减少网络请求是否值得？ #

非常值得，而且这正是Firebase AppCheck官方SDK的默认行为。SDK会自动缓存有效令牌，在令牌快过期时才发起刷新请求，既减少了不必要的网络请求，又能保证每次请求携带的令牌都是有效的，你完全不需要自己手动实现缓存逻辑，直接依赖SDK即可。

3. 是否仅需在敏感请求中使用Firebase AppCheck令牌？ #

不建议这么做。暴力攻击不仅会针对敏感接口（比如支付、用户数据修改），还可能通过滥用普通接口（比如获取列表、公共数据）消耗后端资源，导致服务不可用。最好的做法是给所有后端请求都加上AppCheck验证，验证令牌的开销极低，不会对性能造成明显影响，却能提供全面的防护。

内容的提问来源于stack exchange，提问作者cbdev