我有一个具有硬编码（静态字符串常量）凭据（用户/密码）的 Android 应用程序，用于通过 SMTP 发送电子邮件。
问题是 .apk 中的 .dex 文件很容易被逆向工程，每个人都可以看到我的密码。
有没有办法保护这些凭据，同时我仍然可以在我的课程中使用它们？
【问题讨论】：
标签： java android security reverse-engineering credentials
我们可以使用“jni 模块”在应用程序中保留“敏感硬编码字符串”。当我们尝试对 APK 文件进行逆向工程时，我们会在各自的进程文件夹中获得 lib 文件夹和 .so 文件。无法解密。
【讨论】：
您可以保存被 AES 混淆的字符串。
在许可验证库中，您可以找到AESObfuscator。在 LVL 中，它用于混淆读取的缓存许可信息，而不是要求 Android Market 找出应用程序是否获得许可。 LVL 可以作为 SDK 的组件下载。
【讨论】：
我想您可以尝试使用代码混淆器，但实际上这不会使您的密码 100% 安全，而且我不知道它与 android 编译器的配合情况如何。为什么不使用像 Google 这样的安全网络身份验证？
【讨论】：
我认为在一定程度上可行的唯一方法是将凭据托管在服务器上，只有您的应用程序才能通过某种单独的身份验证通过 Web 服务调用访问该凭据——类似于 FB 的哈希密钥。如果它对他们有用，它应该对我们有用。
【讨论】：
我正在研究一个类似的问题，并遇到了这个有用的线程： http://www.dreamincode.net/forums/topic/208159-protect-plain-string-from-decompilers/
我对 Android 开发不太熟悉，但应该适用相同的想法。
【讨论】：
这样做会很有用：
1-您可以加密它们并混淆加密算法。任何加密以及混淆（Adnroid 中的 progaurd）都是有用的。
2- 您最好在代码中将字符串硬编码为字节数组。许多逆向工程应用程序可以获取硬编码字符串的列表并猜测它们是什么。但是当它们以字节数组的形式出现时，它们是不可读的。但再次Proguard是必要的。 （它只隐藏在 RAM 字符串常量搜索中，它们仍然可以从 .class 文件中搜索）
3- 如果您在硬编码之前对其进行加密并使用 C++ 代码对其进行解密，那么使用 C++ 代码来托管您的常量并不是一个坏主意。
这里也有一篇很棒的文章：
https://rammic.github.io/2015/07/28/hiding-secrets-in-android-apps/
【讨论】：
如果您无法进行网络授权，则需要在您的应用程序中包含第三方解密。
这是你可以尝试的 1) 编写一个独立程序，仅用于创建一次密码哈希。 （此程序不应成为您应用程序的一部分）。记下生成的哈希。 http://www.mindrot.org/projects/jBCrypt/
// Hash a password for the first time.
String hashed = BCrypt.hashpw(password, BCrypt.gensalt(12));
2) 将此密码哈希作为字符串常量存储在您的 APK 中。
3) 然后每次需要检查密码时，与哈希后的密码进行比较，使用 bcrypt。
// Check that an unencrypted password matches one that has
// previously been hashed
if (BCrypt.checkpw(candidate, hashed))
System.out.println("It matches");
else
System.out.println("It does not match");
jBCrypt 是一个单独的 java 文件，它可以直接包含在您的应用程序中。它被认为是最强大的密码加密算法之一。 即使您的 APK 中存在解密算法，尝试破解它也是非常耗时的，详情请参阅下面的文章。
阅读本文了解 bcrypt 的详细信息和安全性。
http://codahale.com/how-to-safely-store-a-password/
同样，仅当您无法进行基于 Web 的身份验证时才使用此功能。
【讨论】：
candidate 字符串呢？或者我遗漏了什么，或者这个答案没用。
使用某种只有您（和您的代码）才能理解的简单加密或密码。反转字符串，将其存储为整数数组，您需要使用 217 的 mod 或一些愚蠢的东西来找到真正的密码。
【讨论】：
一种可以 100% 保护硬编码字符串的方法。 首先不要使用 pro-guard 使用 allatori 链接：http://www.allatori.com/
其次，不要在任何变量中使用硬编码字符串，只需像这样使用该字符串：
if(var=="abc"){}
"abc" 是硬编码字符串示例。
Allatori 完全混淆上述代码中使用的所有字符串。
希望对您有所帮助。
【讨论】：