源代码中的密码 - 它安全吗？ [复制]

Question

我对源代码中的密码有疑问。例如。如果您想连接到 FTP 服务器，您必须在源代码中以纯文本形式写入密码。 这安全吗？或者是否可以反编译 JAR 文件或 Android APK 文件以获取这些纯文本数据？是否有一种安全的方法来存储数据？

Answer 1

最安全的方法是在与 ftp 相同的机器上运行“中间人服务器”。

应用程序联系服务器并说“给我文件”。 然后服务器登录到 ftp 并将文件发送回应用程序。

应用程序永远不知道 ftp 的密码、用户名或任何内容。只有ip地址和如何从服务器获取文件。

然后服务器可以有某种保护，只接受某些请求，或者只接受来自应用程序等的请求。

Answer 2

Java 反编译器可以在 Internet 上轻松找到。
如果是 apk，您可以

• 在电脑上解压APK
  
• 使用 dex2jar 转换器等工具生成.jar 文件
  
• 使用 java 反编译器获取源代码。
  

但是我也发现了一些应用程序无法通过这种方式反编译为源代码，我不知道他们是如何实现的。

Answer 3

如果您必须在源代码中包含密码，那么在 C 中对其进行混淆会更安全，而您的 Java 代码只需从 JNI 中获取密码。否则，请遵循 René Jensen 的建议。