安卓应用基于Google Places Web Service API生成图片URL（不用SDK、不暴露密钥）

既然你明确不想使用Android SDK，而且要避免API密钥暴露，核心思路就是不要在客户端直接拼接带密钥的图片URL——因为客户端的代码很容易被反编译或抓包获取密钥。最安全的方式是搭建一个后端代理接口，由后端来处理和Google Places API的交互，Android客户端只需要请求你自己的后端接口即可。

具体实现步骤 #

1. 后端代理接口实现 #

你需要在自己的服务器上创建一个接口（比如/api/get-place-photo），接收前端传递的图片引用和尺寸参数，由后端负责拼接完整的Google Photos API请求（包含你的密钥），然后把图片内容转发给客户端。

举个简单的Node.js（Express框架）示例：

const express = require('express');
const axios = require('axios');
const app = express();

// 把你的Google API密钥存在后端环境变量里，不要硬编码！
const GOOGLE_API_KEY = process.env.GOOGLE_PLACES_KEY;

app.get('/api/get-place-photo', async (req, res) => {
  const { photoreference, maxwidth, maxheight } = req.query;

  // 参数校验：必须提供图片引用，以及宽/高中至少一个
  if (!photoreference || (!maxwidth && !maxheight)) {
    return res.status(400).send("缺少必要参数：photoreference 和 maxwidth/maxheight");
  }

  try {
    // 构建Google Photos API的请求参数
    const requestParams = new URLSearchParams({
      photoreference,
      key: GOOGLE_API_KEY
    });
    if (maxwidth) requestParams.append('maxwidth', maxwidth);
    if (maxheight) requestParams.append('maxheight', maxheight);

    // 请求Google的图片接口，以流的方式获取图片
    const googleRes = await axios.get('https://maps.googleapis.com/maps/api/place/photo', {
      params: requestParams,
      responseType: 'stream'
    });

    // 把Google返回的响应头原样传给客户端（比如图片类型、缓存策略）
    res.set(googleRes.headers);
    // 将图片流转发给Android客户端
    googleRes.data.pipe(res);
  } catch (err) {
    res.status(err.response?.status || 500).send("获取图片失败");
  }
});

app.listen(3000, () => console.log("代理服务已启动在3000端口"));

2. Android客户端调用代理接口 #

在Android代码里，你只需要请求自己的后端接口，传入photoreference和尺寸参数即可，全程不需要接触API密钥：

// 示例用OkHttp发起请求，你也可以用Retrofit等框架
val okHttpClient = OkHttpClient()
val photoRef = "CnRtAAAATLZNl354RwP_9UKbQ_5Psy40texXePv4oAlgP4qNEkdIrkyse7rPXYGd9D_Uj1rVsQdWT4oRz4QrYAJNpFX7rzqqMlZw2h2E2y..."
val maxWidth = 400

val request = Request.Builder()
    .url("https://你的服务器域名/api/get-place-photo?photoreference=$photoRef&maxwidth=$maxWidth")
    .build()

okHttpClient.newCall(request).enqueue(object : Callback {
    override fun onFailure(call: Call, e: IOException) {
        // 处理请求失败逻辑，比如提示用户
    }

    override fun onResponse(call: Call, response: Response) {
        response.body?.byteStream()?.let { inputStream ->
            // 将输入流转换为Bitmap并显示
            val bitmap = BitmapFactory.decodeStream(inputStream)
            runOnUiThread { yourImageView.setImageBitmap(bitmap) }
        }
    }
})

额外安全优化建议 #

• 给后端接口添加简单鉴权（比如自定义的API token），避免陌生人滥用你的代理服务消耗Google API配额
• 在后端添加图片缓存机制，重复请求相同的图片引用时直接返回缓存，减少API调用次数和延迟
• 限制客户端传入的尺寸范围（比如maxwidth不超过1000），避免过大的图片请求占用带宽

内容的提问来源于stack exchange，提问作者Abhinav