Question

我们的服务是使用Google App Engine作为我们的后端，我们现在正在为图片等实现上传功能。

在堆栈中使用来自几个不同问题的答案，我已经使它工作，但不是完全按照我的意愿。我们没有使用内置的OAuth等，现在我们希望存储是公开的，但不是完全公开。我们希望将其限制为我们自己的应用程序的用户（I.E无身份验证）。在云控制台中，我们可以为iOS创建API密钥。执行此操作时，我们会将API密钥复制到应用程序，并将其与每个上载请求一起传递。当bucket-permission设置为allUsers - WRITE

时，这当前正在工作

但是，在API密钥中，我们可以提供我们应用程序自己的捆绑标识符，因此，据说只允许来自我们应用程序的请求。（显然也允许App Store ID / URL）。只要存储桶具有权限allUsers - WRITE，添加此bundle-id 就不会执行任何操作。如果我将bundle-id更改为与实际的bundle-id不匹配，它仍然有效。那么应该使用哪个权限让存储桶在API密钥中生成bundle-id？应该在iOS上的上传代码中发送什么（acl？）？。

如果我删除allUsers - 权限，并使用其他内容，则在尝试上传时会出现此错误：

{message:"There is a per-IP or per-Referer restriction configured 
          on your API key and the request does not match these
          restrictions. Please use the Google Developers Console 
          to update your API key configuration if request from this
          IP or referer should be allowed." data:[1] code:403}}

这就是我现在正在使用它的方式（尽管我尝试过几种不同的东西，都来自不同的问题/答案）：

GTLServiceStorage *serv = [[GTLServiceStorage alloc] init];    
serv.additionalHTTPHeaders = [NSDictionary dictionaryWithObjectsAndKeys:
                               @"[my project id]", @"x-goog-project-id",
                              @"application/json-rpc", @"Content-Type",
                               @"application/json-rpc", @"Accept", nil];
serv.APIKey = @"[my iOS API key, gotten from console, (linked to bundle-id?)]";
serv.retryEnabled = YES;

GTLStorageBucket *bucket = [[GTLStorageBucket alloc] init];
bucket.name = @"[my bucket]";

GTLUploadParameters *params = [GTLUploadParameters uploadParametersWithFileHandle:fileHandle MIMEType:@"image/jpeg"];
GTLStorageObject *storageObject = [[GTLStorageObject alloc] init];
storageObject.name = @"testFile.jpg";

//I have no idea what I'm doing with the following stuff, but I've tried several things:
GTLStorageObjectAccessControl *objAccessControl
= [GTLStorageObjectAccessControl new];

//This is working
objAccessControl.entity = @"allUsers";
objAccessControl.email = @"[my app-id]@project.gserviceaccount.com";
objAccessControl.role = @"OWNER";

//If I try this instead, it is not working.
//objAccessControl.domain = @"[my app-id].apps.googleusercontent.com";
//objAccessControl.role = @"WRITER";
//Probably because it's bullshit, I have no idea what I'm doing.

storageObject.acl = @[objAccessControl];

[...] //Bucket and upload and stuff. It seems like it's the ACL-thing above that's not working..

似乎我必须以某种方式将存储桶上的权限连接到iOS API密钥，但我不知道它是否可能。

我想要的是：所有用户都可以使用云，因为他们是从我的iOS应用程序请求它。

Answer 1

由于这个问题从来没有得到答案，我将根据帖子中的信息在这里添加一个。

您收到错误的原因＆＃39;每个IP或每个Referer限制。＆＃39;使用iOS API Key调用GCS API时，仅仅因为GCS API doesn't work with API Keys for private data，只有Bearer Tokens（即使用OAuth）。您无法做任何事情来使API Key直接与私有数据一起使用GCS API。当你拥有所有用户 - 写作＆＃39;设置为ACL只是因为该ACL允许公共访问。

要在无需用户干预的情况下访问私人数据，需要服务帐户，但Google API Objective-C客户端仅支持OAuth2客户端ID。基本原理是服务帐户仅用于服务器端身份验证。在客户端中使用服务帐户将涉及分发私钥和应用程序，这很容易受到损害。作为参考，以下是使用OAuth授权GCS服务的示例：

NSString *keychainItemName = @"My App";
NSString *clientID = <your-client-id>;
NSString *clientSecret = <your-client-secret>;

// How to check for existing credentials in the keychain
GTMOAuth2Authentication *auth;
auth = [GTMOAuth2WindowController authForGoogleFromKeychainForName:kKeychainItemName
                                                          clientID:clientID
                                                      clientSecret:clientSecret];

...

// How to set up a window controller for sign-in
NSBundle *frameworkBundle = [NSBundle bundleForClass:[GTMOAuth2WindowController class]];
GTMOAuth2WindowController *windowController;
windowController = [GTMOAuth2WindowController controllerWithScope:kGTLAuthScopeStorageDevstorageFullControl
                                                         clientID:clientID
                                                     clientSecret:clientSecret
                                                 keychainItemName:kKeychainItemName
                                                   resourceBundle:frameworkBundle];

[windowController signInSheetModalForWindow:[self window]
                            completionHandler:^(GTMOAuth2Authentication *auth,
                            NSError *error) {
  if (error == nil) {
    self.storageService.authorizer = auth;
  }
}];

...

// Initialize service with auth
GTLServiceStorage *serv = [[GTLServiceStorage alloc] init];    
serv.authorizer = auth;

所有这些都来自google-api-objectivec-client GitHub页面上的storage sample，因此您可以参考它来获取有关上下文的完整示例。

这仍然存在如何在没有用户授权的情况下从iOS实现对GCS的访问的问题。对此的简短回答是，iOS密钥可用于restrict access到Google Cloud Endpoints上托管的后端API，并且该后端应用程序可以使用服务帐户（通常是应用程序默认服务）对GCS进行授权帐户）。 Cloud Storage Client Library Examples页面包含使用不同语言的默认凭据的示例。

有关如何为此目的实现端点API的更多详细信息可能超出了本问题的范围，但这应该是一个很好的起点。

如何使用iOS应用的捆绑包标识符“授权”上传到Google云端存储空间？

1 个答案: