Google Play提示GCP API密钥泄露，已限权限仍报错求解决方案

• 检查权限限制的精准性
  确认API密钥的双限制条件是否完全配置正确：

  • 应用限制必须同时绑定你的应用包名和对应构建变体的SHA-1指纹，缺一个都可能导致限制失效；
  • API限制要严格勾选你的应用实际用到的GCP服务，不要留空或勾选无关服务；
  • 若存在debug、release等多构建变体，需把每个变体的SHA-1都添加到密钥限制列表中。

• 排查代码中密钥残留

  • 全局检索项目代码，确认旧配置文件、测试代码片段中是否还有硬编码的该API密钥；
  • 重点检查AndroidManifest.xml、strings.xml这类易暴露的配置文件，确保没有未移除的密钥；
  • 可在项目目录下执行命令grep -r "YOUR_API_KEY" ./app/src快速定位密钥位置。

• 验证限制是否实际生效

  • 用非授权的测试应用（比如修改包名的Demo）调用该API，若能正常访问说明限制未生效，需重新配置；
  • 查看GCP控制台的「API密钥使用报告」，排查是否存在非你的应用发起的请求，确认配置是否有遗漏。

• 等待扫描缓存更新
  Google Play的安全扫描存在缓存机制，即使已修复问题，扫描结果可能不会立即同步。通常等待24-48小时后再重新提交审核即可。

• 检查打包与混淆问题

  • 若开启了代码混淆，确认混淆规则没有意外暴露密钥相关配置；
  • 解压APK文件，检查res/values/strings.xml等文件中是否还存在明文密钥，排查打包过程是否混入了未限制的密钥版本。

内容的提问来源于stack exchange，提问作者MANISH