Flutter中更新GoogleService-Info.plist的Google API密钥及安全防护方法

1. 更新GoogleService-Info.plist中的Google API密钥 #

• 找到iOS项目目录下的ios/Runner/GoogleService-Info.plist文件
• 用文本编辑器或Xcode打开文件，定位到API_KEY对应的键值对，替换原有值为新的Google API密钥
• 保存文件后重启Flutter项目，确保新密钥生效。如果是Firebase相关服务，也可以直接从Firebase控制台下载最新的GoogleService-Info.plist覆盖原文件，同步所有配置

2. 防止Google API密钥在PT测试中暴露的安全方案 #

• 严格限制密钥使用范围：在Google Cloud控制台给密钥设置精准限制——只允许你的iOS Bundle ID、Android应用包名调用，同时指定可访问的API服务（比如仅开放Maps或Firebase所需API）。就算密钥被获取，也无法在其他环境或调用未授权接口
• 通过后端代理转发请求：不让客户端直接调用Google API，所有请求先经过你的后端服务。后端持有密钥并对接Google官方接口，客户端只和自己的后端交互，完全不接触密钥
• 用环境变量动态注入密钥：别把密钥硬编码在GoogleService-Info.plist或代码里，iOS端用xcconfig配置环境变量，Flutter启动时通过dart-define参数传递，或者从安全的内部配置中心拉取（拉取必须走HTTPS）
• 代码混淆+资源加密：在pubspec.yaml中开启Flutter代码混淆，对GoogleService-Info.plist做轻量加密，应用启动时动态解密加载。这能提升逆向难度，建议配合其他方案一起用
• 监控密钥使用情况：在Google Cloud控制台开启密钥使用日志，实时排查异常调用，一旦发现非授权访问，立即禁用并更换密钥

内容的提问来源于stack exchange，提问作者Janaki Narayanan