绑定Android应用的API key可无限制调用部分Maps API原因咨询

这个行为是Google Maps平台不同类型API的鉴权规则设计差异导致的，不属于配置故障，具体逻辑如下：

• 你配置的Android应用限制（包名+证书指纹校验），本质是校验请求头里自动携带的Android应用签名信息，这类信息只有通过官方Maps SDK for Android，从匹配签名、包名的Android应用内发起请求时才会被自动附加，普通直接构造的HTTP请求根本无法携带这类校验字段。
• 可被任意客户端调用的静态街景（Street View）、静态地图（Static Map）接口属于公开静态资源类API：
  这类接口的设计目标是支持直接拼接URL嵌入网页、无SDK跨端调用，服务端不会强制要求请求携带应用身份校验字段，仅校验API key本身有效、且已开通对应接口权限。由于你当前配置了「API restrictions -> No restriction」，只要key合法，任意客户端发起的这两个接口请求都会被正常放行，Android应用限制规则对这类接口默认不触发校验。
• 被正常拦截的高程、地理编码接口属于Web Service类服务API：
  这类接口的设计定位是可信端（服务端/合规集成SDK的移动端）调用，当API key配置了Android应用限制时，服务端会强制要求请求携带匹配的Android应用签名字段，未携带或字段不匹配的请求会直接被拦截，这部分校验逻辑完全符合预期。

注意：如果需要避免静态资源类API被盗刷消耗配额，不要给这类公开接口使用全接口无限制的key，建议单独生成专用API key，在API限制中仅勾选静态街景、静态地图权限，根据实际使用场景搭配对应的来源限制规则，降低盗用风险。

内容的提问来源于stack exchange，提问作者gar_r