android - 在 Android 应用程序中硬编码 Twitter 消费者 key 和 secret 有多安全？

Question

我正在看这个示例代码:

authConfig = new TwitterAuthConfig(BuildConfig.CONSUMER_KEY, BuildConfig.CONSUMER_SECRET);

是什么阻止了某人反编译 .apk 并开始使用我的应用消费者 key 和 secret ？

Answer 1

如果它是您的 key 并且该应用程序供其他人使用，那么如果进行逆向工程，这些将在应用程序中可用。即使您在应用程序中对它们进行加密并在使用时解密，您也需要在您的应用程序中包含解密 key ，因此坚定的恶意用户也可以进行逆向工程和解密。

我也对此做了一些进一步的研究，因为它有点困扰我。

我的理解是，CONSUMER_KEY 和 CONSUMER_SECRET 是您的，应该受到保护。我不认为将它们分发到分发给用户的任何应用程序中是个好主意。

相反，它们可用于创建“不记名 token ”，作为支持后端网络应用程序的一部分。可以通过从您自己的 Web 应用程序内部调用适当的 Twitter Web API 来请求不记名 token ，即在安全的环境中。

通过这种方式，您将拥有三个参与者，即您的移动应用程序、您的网络应用程序和 Twitter 服务。移动应用程序从您的网络应用程序请求不记名 token 。 Web 应用程序通过 Twitter REST API 进行服务器到服务器调用，从而从 Twitter 请求持有者 token ，您的 token 和 secret 仍然属于您。不记名 token 由 Twitter 返回到您的 Web 应用程序。然后，您的 Web 应用程序可以将不记名 token 存储在您的 Web 应用程序 session 中，并充当 Twitter 请求的代理，并确保即使不记名 token 也是保密的。

以下是一些引用资料: http://wickedlysmart.com/twitternews-oauth/ https://dev.twitter.com/oauth/application-only http://hayageek.com/login-with-twitter/