ios - 如何使用 iOS 应用程序的包标识符将 'authorize' 上传到 Google Cloud Storage？

Question

我们的服务使用 Google App Engine 作为后端，我们现在正在为图片等实现上传功能。

使用堆栈中几个不同问题的答案，我已经让它工作了，但并不完全如我所愿。我们没有使用内置的 OAuth 等，现在我们希望存储是公开的，但不是完全公开的。我们想将其限制为我们自己的应用程序的用户(即无身份验证)。在云控制台中，我们可以为 iOS 创建一个 API key 。执行此操作时，我们将 API key 复制到应用程序，并将其与每个上传请求一起传递。当 bucket-permission 设置为 allUsers - WRITE

时，这目前有效

但是，在 API key 中，我们可以提供我们应用自己的Bundle Identifier，这样，据推测，只允许来 self 们应用的请求。 (显然，App Store ID/URL 也是允许的)。 只要存储桶具有 allUsers - WRITE 权限，添加此 bundle-id 不会执行任何操作。如果我将 bundle-id 更改为与实际的 bundle-id 不匹配，它仍然有效。那么它应该对存储桶使用哪个权限才能使 API key 中的 bundle-id 应用？在 iOS 上的上传代码中应该发送什么(acl？)？

如果我删除 allUsers 权限，并使用其他权限，我在尝试上传时会收到此错误:

{message:"There is a per-IP or per-Referer restriction configured 
          on your API key and the request does not match these
          restrictions. Please use the Google Developers Console 
          to update your API key configuration if request from this
          IP or referer should be allowed." data:[1] code:403}}

这就是我现在使用它的方式(尽管我尝试了几种不同的方法，都是从不同的问题/答案中挑选出来的):

GTLServiceStorage *serv = [[GTLServiceStorage alloc] init];    
serv.additionalHTTPHeaders = [NSDictionary dictionaryWithObjectsAndKeys:
                               @"[my project id]", @"x-goog-project-id",
                              @"application/json-rpc", @"Content-Type",
                               @"application/json-rpc", @"Accept", nil];
serv.APIKey = @"[my iOS API key, gotten from console, (linked to bundle-id?)]";
serv.retryEnabled = YES;

GTLStorageBucket *bucket = [[GTLStorageBucket alloc] init];
bucket.name = @"[my bucket]";

GTLUploadParameters *params = [GTLUploadParameters uploadParametersWithFileHandle:fileHandle MIMEType:@"image/jpeg"];
GTLStorageObject *storageObject = [[GTLStorageObject alloc] init];
storageObject.name = @"testFile.jpg";

//I have no idea what I'm doing with the following stuff, but I've tried several things:
GTLStorageObjectAccessControl *objAccessControl
= [GTLStorageObjectAccessControl new];

//This is working
objAccessControl.entity = @"allUsers";
objAccessControl.email = @"[my app-id]@project.gserviceaccount.com";
objAccessControl.role = @"OWNER";

//If I try this instead, it is not working.
//objAccessControl.domain = @"[my app-id].apps.googleusercontent.com";
//objAccessControl.role = @"WRITER";
//Probably because it's bullshit, I have no idea what I'm doing.

storageObject.acl = @[objAccessControl];

[...] //Bucket and upload and stuff. It seems like it's the ACL-thing above that's not working..

似乎我必须以某种方式将存储桶的权限连接到 iOS API key ，但我不知道这是否可能。

我想要的是:所有用户都能够使用云，前提是他们从我的 iOS 应用程序请求它。

Answer 1

由于这个问题从未得到答案，我将根据帖子中的当前信息在此处添加一个。

使用 iOS API key 调用 GCS API 时出现错误“存在针对每个 IP 或每个 Referer 的限制..”的原因仅仅是因为 GCS API doesn't work with API Keys for private data ，只有 Bearer Tokens(即使用 OAuth)。您无法做任何事情来使 API key 直接与 GCS API 一起使用私有(private)数据。当您将“allUsers - WRITE”设置为 ACL 时它起作用的原因仅仅是因为该 ACL 允许公共(public)访问。

要在没有用户干预的情况下访问私有(private)数据，需要服务帐户，但 Google API 的 Objective-C 客户端仅支持 OAuth2 客户端 ID。理由是服务帐户仅用于服务器端身份验证。在客户端中使用服务帐户将涉及将私钥与应用程序一起分发，这很容易被破坏。作为引用，下面是您如何使用 OAuth 授权 GCS 服务的示例:

NSString *keychainItemName = @"My App";
NSString *clientID = <your-client-id>;
NSString *clientSecret = <your-client-secret>;

// How to check for existing credentials in the keychain
GTMOAuth2Authentication *auth;
auth = [GTMOAuth2WindowController authForGoogleFromKeychainForName:kKeychainItemName
                                                          clientID:clientID
                                                      clientSecret:clientSecret];

...

// How to set up a window controller for sign-in
NSBundle *frameworkBundle = [NSBundle bundleForClass:[GTMOAuth2WindowController class]];
GTMOAuth2WindowController *windowController;
windowController = [GTMOAuth2WindowController controllerWithScope:kGTLAuthScopeStorageDevstorageFullControl
                                                         clientID:clientID
                                                     clientSecret:clientSecret
                                                 keychainItemName:kKeychainItemName
                                                   resourceBundle:frameworkBundle];

[windowController signInSheetModalForWindow:[self window]
                            completionHandler:^(GTMOAuth2Authentication *auth,
                            NSError *error) {
  if (error == nil) {
    self.storageService.authorizer = auth;
  }
}];

...

// Initialize service with auth
GTLServiceStorage *serv = [[GTLServiceStorage alloc] init];    
serv.authorizer = auth;

所有这些都取自 storage sample在 google-api-objectivec-client GitHub 页面上，因此您可以引用它以获取包含上下文的完整示例。

这仍然留下了如何实现在没有用户授权的情况下从 iOS 访问 GCS 的问题。对此的简短回答是 iOS key 可用于 restrict access到您自己托管在 Google Cloud Endpoints 上的后端 API ，并且该后端应用程序可以使用服务帐户(通常是应用程序默认服务帐户)针对 GCS 进行授权。 Cloud Storage Client Library Examples页面包含使用不同语言的默认凭据的示例。

关于如何为此目的实现 Endpoints API 的更多细节可能超出了这个问题的范围，但这应该是一个很好的起点。