在Expo React Native中暴露Google Maps API密钥至app.json是否安全？

直接在app.json里硬编码Google Maps API密钥不安全，存在被盗风险。打包后的Android/iOS应用可以被反编译，攻击者能轻松提取出明文存储的密钥，一旦被盗用，可能会被用来调用你的Google Cloud资源，产生不必要的费用。

解决思路：用Expo秘密变量+动态配置替代硬编码 #

你已经在使用Expo的秘密变量存储机密，完全可以结合app.config.js来实现安全配置：

1. 替换app.json为app.config.js
   把原来的app.json改成js格式，这样可以动态读取环境变量：

   export default ({ config }) => {
     return {
       ...config,
       android: {
         ...config.android,
         package: "com.myapp.app",
         googleServicesFile: "./google-services.json",
         adaptiveIcon: {
           foregroundImage: "./assets/adaptive-icon.png",
           backgroundColor: "#ffffff"
         },
         config: {
           googleMaps: {
             apiKey: process.env.GOOGLE_MAPS_API_KEY
           }
         }
       },
       // iOS配置同理
       ios: {
         ...config.ios,
         config: {
           googleMaps: {
             apiKey: process.env.GOOGLE_MAPS_API_KEY
           }
         }
       }
     };
   };
   

2. 在Expo Dashboard添加秘密变量
   登录Expo后台，找到你的项目，在"Secrets"页面添加GOOGLE_MAPS_API_KEY，值填你的Google Maps API密钥。构建时Expo会自动把这个变量注入到构建环境中，不会出现在你的代码仓库里。

关键补充：Google Cloud端的密钥防护 #

即使通过上述方法避免了代码仓库中的密钥暴露，打包后的app里仍会包含密钥（这是React Native/Expo应用的特性，无法完全避免），所以必须在Google Cloud控制台做严格限制：

• 限制使用平台：
  针对Android，设置允许的应用包名（比如com.myapp.app）和SHA-1证书指纹；针对iOS，设置允许的Bundle ID。这样即使密钥被盗，其他应用也无法使用。
• 限制API服务：
  只启用你的应用需要的Google Maps相关API（比如Maps SDK for Android、Maps SDK for iOS），关闭所有不必要的API服务。
• 设置调用额度和告警：
  在Google Cloud控制台设置API调用额度上限，一旦超过就自动停止服务，同时配置费用告警，避免被盗用后产生高额账单。
• 区分开发和生产密钥：
  生成两个API密钥，开发环境用限制更宽松的密钥（比如允许本地调试的SHA-1），生产环境用严格限制的密钥，进一步降低风险。

总结 #

通过app.config.js+Expo秘密变量，可以避免密钥出现在代码仓库中；再配合Google Cloud端的严格限制，就能把密钥被盗的风险降到最低，即使被盗也无法被滥用。

内容的提问来源于stack exchange，提问作者da45