Firebase Auth与App Check令牌能否防范合法用户的后端请求滥用？

关于你的判断是否正确 #

你的判断大部分是正确的：

• Firebase Auth的ID Token和App Check的核心定位是验证请求的合法性——前者确认请求来自已认证的合法用户，后者确认请求来自你的官方应用实例，但两者都不直接针对合法用户的滥用行为。
• 要防范合法用户发送垃圾请求，后端速率限制是必不可少的核心措施。因为这类用户本身拥有有效身份和应用权限，常规的身份/应用验证无法区分其正常操作与恶意刷请求的行为。

关于App Check令牌的防复制机制 #

App Check令牌没有专门的防止用户复制的机制：

• App Check的作用是通过平台级验证（如安卓SafetyNet、iOS DeviceCheck）确保请求来自你的官方应用，但它生成的令牌依然可能被root/jailbreak设备通过抓包、内存读取等方式获取。用户拿到令牌后，依然可以用curl等工具发送任意请求，这一点和ID Token的情况一致。
• App Check能拦截的是非官方应用、脚本或第三方工具伪造的请求，但无法阻止合法用户在自己设备上获取令牌后进行的滥用操作。

额外建议 #

• 除了速率限制，可结合请求内容合理性校验，过滤无意义的重复请求；
• 对高敏感操作（如批量数据提交、账户变更），增加二次验证（如验证码、生物识别）；
• 利用Firebase的监控工具设置异常流量告警，及时发现并手动处理恶意用户。

内容的提问来源于stack exchange，提问作者Nik