android - 存储 secret 凭证的安全方式

Question

我有一个 Android 应用程序，我想将其部署用于商业用途。我正在使用 aws secret 凭据，目前我已将其硬编码在代码中。

通过将凭据作为外部参数传递，是否有任何安全的方式来部署 Android 应用程序。就像我们在服务器应用程序中所做的那样，将凭据作为环境变量传递。我不想在我的代码库中打开 key 。

我想知道是否有任何方法可以在 android 应用程序中做类似的事情。

Answer 1

我会使用与 环境变量 相同的原则，但通过 Gradle。

想法是你应该有一个 gradle.properties Gradle 可以从中获取属性的用户文件夹中的文件。当然，此文件不会添加到源代码管理中。

你可以这样做

~/.gradle/gradle.properties

projectAwsCred1=cred1
projectAwsCred2=cred2

build.gradle(应用程序)

...
buildConfigField "String", "AWS_CRED_1", "\"projectAwsCred1\""
buildConfigField "String", "AWS_CRED_2", "\"projectAwsCred2\""

然后(在构建之后)您可以像正常的 Build.AWS_CRED_1 一样在您的代码中调用它

这样，您的凭据将在您的应用中烘焙，但仅在构建时烘焙。您当然必须在 README 中对此进行记录，以便其他人(或 future 的您)知道 projectAwsCred* 信息已放置。