android - 如何在android中存储API凭据并避免反编译攻击？

Question

我的最终目标是确保我的 API 凭据安全，并且不能通过反编译 apk 被发现。

目前，我的 API 凭据硬编码在 buid.gradle(app module) 文件中。

当我使用这个 site 反编译我自己的 apk 时我可以找到 API URL 和其他凭据。

现在我正在寻找解决方案，并且更想知道如何解析“google-services.json”文件。

如果有解决方案可以在运行时或编译时读取app文件夹下的**my-cred.json**文件(**google-services.json所在目录** 存在)，我想我可以保护我的凭据不被反编译源代码(如果我错了请纠正我)

请告诉我一种读取**my-cred.json** 或任何其他保护应用凭据的解决方案

Answer 1

在我看来，没有办法在您的 Android 设备上保护此类私钥。所以解决办法就是干脆不存储在安卓设备上。但是您可以将其存储在外部服务器上。在我的例子中，这个 key 在每个 session 中只使用一次，以生成一个 session token 。所以我只是创建了一个小型 Java 应用程序，它根据用户 ID 和 API key 创建 session token 。该应用程序托管在 Google App Engine 上，但任何托管服务都可以完成这项工作。然后，您的 Android 应用程序必须调用此应用程序 (servlet) 以获取适当的 token ，然后使用该 token 调用 API。

我知道这并不能直接回答您的问题 - 但它的实现非常简单，并且可以避免您的 key 被逆向工程。