android - 保护 Android 上的 Twitter key

Question

将 Twitter 身份验证添加到我的 Android 应用程序时，转到 Twitter dev ，我惊讶地发现我必须像这样初始化 Twitter 的 Fabric:

import io.fabric.sdk.android.Fabric;
import com.twitter.sdk.android.Twitter;
import com.twitter.sdk.android.core.TwitterAuthConfig;
...

@Override
public void onCreate() {
    super.onCreate();

    TwitterAuthConfig authConfig = 
                new TwitterAuthConfig("consumerKey",
                                     "consumerSecret");
    Fabric.with(this, new Twitter(authConfig));
}

他们正式推荐我将 API Key 和 API Secret 作为明文放在我的应用中。即使在这个 official sample ， key 存储在 BuildConfig 中。

我正在使用 Proguard，但即便如此，我也不能保证坚定的黑客无法利用我的 API Secret。 Quora 等已建立的应用程序是否也会公开这些 key ？

有人可以发布克服此漏洞的示例，或者就 Twitter 为什么要这样做给出令人信服的论据吗？

相比之下，Google 和 Facebook 只需要我添加一个 AppID，我必须对我的签名证书进行哈希处理并将哈希链接起来到各自的应用程序。这比上面的级别更安全。

Answer 1

Proguard 不会混淆字符串文字。相反，您可以将 secret 存储为加密字符串(可能使用 AES)并在需要时解密。或者，商业程序，例如 Stringer或 Dexguard提供字符串混淆。