如何保护 Google 的 Api Key

[waytocode]

在做一个产品的时候，需要在客户端调用 Google 的 Api 功能。在 console.cloud.google.com 创建了项目后，下载了 json 格式的 Key。这个 Key 放在了客户端。有什么办法可以保护这个 Key，在发布版本后，不被其他人拿到 Key 去任意调用呢？ 因为 Google 的 Api 都是收费的。

[honeycomb]

官方提供的手段是可以要求提供 referer，限制 IP 段，限制应用等

一些其它的办法，不一定适用：

ubiquiti 的 unifi controller 有关 Google maps API 的功能要求用户自行提供 API key。
这个自然是万无一失的。

国内的好多给手机应用的 API 要求提供应用自身的签名，也是一个好办法。

[nciyuan]

如果是国内的话，自己搞个 proxy，然后让所有流量过一次你们的服务器？