如何防止逆向工程apk獲取服務器登錄？

Question

我正在嘗試找到一種方法來確保我的Android應用安全，然后再發布。 目前，我正在使用https / ssl進行服務器通信，並在應用程序要與之通信的服務器上使用受密碼保護的隱藏目錄。 在這些目錄中，該應用程序與處理與服務器數據通信的PHP腳本對接。 我看到的最大的漏洞在於，使用apk文件中的文字字符串來訪問PHP腳本所在的受服務器密碼保護的目錄。 這些文字字符串可以通過二進制檢查或附加調試器來檢測。 到目前為止，我讀到的是不可能混淆文字字符串。

我的問題是，如何防止發現運行PHP腳本的隱藏目錄的密碼？ 或者，我還應該采取什么其他方法來確保服務器登錄名的安全並減少服務器攻擊的機會？

Answer 1

我認為最好的方法是在運行時驗證應用程序的簽名證書。 由此，您無需在應用程序中對任何憑據進行硬編碼。 目前，Facebook SDK正在使用它。 請看以下。

• https://www.airpair.com/android/posts/adding-tampering-detection-to-your-android-app
• https://developers.facebook.com/docs/android/getting-started

Answer 2

也許使用加密比不進行加密更有意義，您需要控制如何處理私鑰。