如何为Android应用限制Google Maps时区API密钥？可行性与报错排查

我刚好踩过类似的坑，其实这是因为Google Maps Time Zone API属于Web服务类API，和你熟悉的Maps Android/Places这类移动端专用API的应用限制机制完全不同——Web服务API默认不支持直接通过Android包名+SHA-1来做应用级限制，这就是你设置后持续返回REQUEST_DENIED的核心原因。

下面给你几个可行的解决方案，按推荐程度排序：

• 优先考虑迁移到Android原生地理服务（无需调用Web API）
  如果你只是需要根据位置获取时区，完全可以不用调用Time Zone Web API。Android平台提供了TimeZone类结合位置坐标的方式，或者通过Fused Location Provider获取精确位置后，用Geocoder.getFromLocation()解析地址并提取时区信息。这种方式完全依赖移动端原生API，能直接复用你原本的Android包名+SHA-1密钥限制，安全又省心。唯一要注意的是Geocoder可能在部分地区数据不全，你可以结合TimeZone.getOffset()来做兜底。

• 如果必须调用Web API，用API限制+IP限制（后端中转）
  把时区API的请求逻辑放到你的后端服务器上，然后给API密钥设置服务器IP地址限制（只允许你的服务器IP调用），同时在Google Cloud控制台开启API限制——只允许该密钥调用Time Zone API。这样就算密钥泄露，也只能在你的服务器上使用，且只能调用指定API，风险被降到最低。客户端只需要请求你的后端接口，不用直接持有API密钥。

• 客户端直接调用的折中方案（安全性次之）
  如果实在没法做后端中转，那至少给API密钥开启API限制（只允许调用Time Zone API），避免密钥被用来调用其他付费API。另外，你可以在客户端请求时添加自定义签名逻辑：比如用你的应用SHA-1哈希和请求参数生成一个签名，在请求时带上这个签名，然后在自己的简单验证服务里先校验签名，再转发请求到Time Zone API。这种方式能一定程度上防止密钥被滥用，但开发成本会高一些。

最后再提醒两个容易忽略的点：

• 确认Google Cloud控制台已经启用了Time Zone API，有时候密钥限制报错也可能是API没开；
• 检查请求参数是否完整（location、timestamp是必填项），不过你取消限制后能成功，这个应该没问题。

内容的提问来源于stack exchange，提问作者Folli