谷歌云平台Android密钥SHA1限制未正常生效问题咨询

首先明确一个核心前提：AndroidKey配置的SHA1使用限制并非全场景生效，仅覆盖特定调用链路。

配置后仍可被其他项目调用的常见原因 #

• 你当前使用的Google Analytics、YouTube相关功能如果是通过REST API直接传API Key请求、或者走服务端中转调用，没有使用谷歌官方提供的Android专属SDK发起请求，谷歌的校验服务不会主动提取请求对应的APP签名信息做SHA1比对，限制规则自然不会触发。
• 部分2022年之前发布的旧版谷歌服务SDK存在校验逻辑漏洞，即使走Android SDK调用也可能绕过SHA1校验，建议将对应服务的SDK升级到最新稳定版后重新测试。
• SHA1和包名配置完成后存在最长15分钟的生效窗口期，刚配置完立即测试也会出现限制暂不生效的情况。

SHA1限制的实际作用 #

• 针对Android端通过官方SDK发起的请求，自动校验请求来源APP的签名SHA1、包名是否和云平台配置的一致，避免API Key被反编译提取后，被恶意第三方APP盗用产生额外账单、或者盗用你的服务配额影响正常业务。
• 是部分高安全等级谷歌服务的强制准入配置，比如Google登录、Google Pay、Google Maps导航相关API，未正确配置SHA1限制的密钥会直接被这些服务拒绝调用，无法正常使用功能。
• 开启后谷歌云API控制台的请求日志会自动标记不符合SHA1配置的异常请求，你可以基于日志快速定位盗用请求的特征，做后续的权限调整或者拦截处理。

注意：如果需要限制全场景的API调用，可以搭配IP限制、配额限制规则使用，仅靠SHA1限制无法覆盖非Android SDK的调用场景。

内容的提问来源于stack exchange，提问作者gourav singhal