security - 在 Xamarin Forms 中为 rest API 存储 client_id 和 client_secret 的位置

Question

最近，我一直在解决安全问题，因为获取我的 client_id 和 client_secret 可能会危及我的应用程序。

我的实现是使用 PCLAppConfig 插件将配置数据存储在配置文件 (App.config) 中。对此的概述是您将创建一个配置文件，其构建操作作为嵌入式资源。

我认为这是足够安全的，因为它存储在一个配置文件中，在我的 friend 试图对我的应用程序进行渗透测试之后。基本上他只是做以下事情:

1. 在 Google Play 商店中下载该应用(Android 示例)
2. 获取等效的 apk。 (他使用 Share It)
3. 将 .apk 文件重命名为 .zip
4. 使用反射工具打开，您将看到所有的 dll 文件。然后他看到在 dll 文件(PCL 类)下他可以看到 .config 文件。

那一刻他知道了所有不应该被用户知道的 secret 数据。

我的问题是，如何安全地存储这些 secret 数据。它不应该被硬编码，因为所有代码都转换为 .dll 文件并且可以使用反射工具进行跟踪。

更新

还是没有解决

Answer 1

也许您可以使用 Xamarin Essentials 中的 SecureStorage

https://learn.microsoft.com/en-us/xamarin/essentials/secure-storage?tabs=android

...

try
{
  await SecureStorage.SetAsync("oauth_token", "secret-oauth-token-value");
}
catch (Exception ex)
{
  // Possible that device doesn't support secure storage on device.
}