アプリ（iOS/Android）からCloud FunctionsなどへAPIリクエストを送信する際に、APIキーを安全に管理する方法をご教授いただきたいです。

【教えてもらいたいこと】
プログラミング/サーバーサイド

【具体的な相談内容】
現在、自作のスマホアプリ（Android・iOS）からCloud Functionsを経由してGemini APIなどにリクエストを送りたいと考えています。

この際、APIキーをアプリ内に直接書くとリスクがあるため、以下を実現したいと考えています。

・アプリ側では暗号化した認証情報を送信
・Cloud Functions側ではアプリからの正規のリクエストであることを検証して復号し、Gemini APIなどへリクエストを転送

こうした方法を安全かつ簡潔に実装するには、どのような技術や手法が推奨されますでしょうか？

また、特定のアプリからのリクエストであることをCloud Functions側やサーバーサイド側で適切に検証・認証する方法もご存知でしたらご教授いただけますと幸いです。
【目安予算】
30000円