如何防止逆向工程apk获取服务器登录？

Question

我正在尝试找到一种方法来确保我的Android应用安全，然后再发布。 目前，我正在使用https / ssl进行服务器通信，并在应用程序要与之通信的服务器上使用受密码保护的隐藏目录。 在这些目录中，该应用程序与处理与服务器数据通信的PHP脚本对接。 我看到的最大的漏洞在于，使用apk文件中的文字字符串来访问PHP脚本所在的受服务器密码保护的目录。 这些文字字符串可以通过二进制检查或附加调试器来检测。 到目前为止，我读到的是不可能混淆文字字符串。

我的问题是，如何防止发现运行PHP脚本的隐藏目录的密码？ 或者，我还应该采取什么其他方法来确保服务器登录名的安全并减少服务器攻击的机会？

Answer 1

我认为最好的方法是在运行时验证应用程序的签名证书。 由此，您无需在应用程序中对任何凭据进行硬编码。 目前，Facebook SDK正在使用它。 请看以下。

• https://www.airpair.com/android/posts/adding-tampering-detection-to-your-android-app
• https://developers.facebook.com/docs/android/getting-started

Answer 2

也许使用加密比不进行加密更有意义，您需要控制如何处理私钥。