java - 存储和使用适用于 Android 的亚马逊访问 key 的安全方式

Question

我正在尝试为使用 Amazon SimpleDB 的 Android 构建应用程序。我查看了亚马逊提供的示例代码的源代码。但是在演示中，凭据仅存储在 Constants.java 中，我认为这种方法根本不安全，因为即使启用了 Proguard，也可能有人可以反编译 apk 以暴露凭据。

因此我在亚马逊上阅读了关于此的文章，但我不太理解，因为我对 android/java 中的密码学不是很熟悉。

我应该如何实际允许从我的应用程序访问 Amazon SimpleDB，同时保证访问 key 不被外部各方访问？

编辑 1:我想使用该应用程序从 SimpleDB 检索数据，显示在 ListView 中。例如，就像对食物的简单评论，其他用户将能够检索到其他用户发布的相同评论。也许如果用户想要发表评论，他们将需要注册一个帐户并登录。

Answer 1

AWS 提供了多种解决方案，用于在硬编码之外向设备提供凭证，其中一种或两种都可以满足您的特定需求:

• Token Vending Machine . AWS 为 Anonymous 提供了示例 TVM和 User Authentication可以定制以满足您的需求。
• Web identity federation它使用来自 Facebook、谷歌和亚马逊的身份。

我们的 samples repository包括用于与这两种技术集成的示例，但在 SimpleDB 示例中没有具体说明。