如何通过Flutter Blue Plus防止ESP32设备被未授权蓝牙连接？

一、ESP32端的限制措施 #

• 用自定义UUID替代通用串口UUID：别用市面上通用的蓝牙串口UUID（比如0000FFE0开头的），自己生成一对128位的专属服务UUID和特征UUID。其他应用不知道这些UUID，根本找不到ESP32上的通信服务，自然连不上。
  ESP32 Arduino示例代码：

  // 自定义服务UUID
  static BLEUUID serviceUUID("你的专属128位UUID");
  // 自定义特征UUID
  static BLEUUID charUUID("你的专属特征UUID");
  

• 加连接认证关卡：
  • 预共享密钥：ESP32存一个专属密钥，Flutter应用连上后先发这个密钥，ESP32验证通过才开放通信权限，不对就直接断连。
  • 挑战响应：ESP32连上后发个随机字符串，Flutter应用用约定好的算法（比如HMAC-SHA256）处理后返回结果，ESP32匹配上才允许后续操作。
• 过滤广播内容：ESP32的广播包只带自定义服务UUID和厂商特定数据，别包含通用服务标识，这样只有你的应用能识别并发起连接。
• 设备白名单（辅助）：把Flutter应用所在设备的蓝牙地址提前存到ESP32里，连接时先校验地址，不过蓝牙地址可能变动，最好和其他措施搭配用。
• 限制单设备连接：设置ESP32同一时间只允许一个设备连接，避免非法设备抢占资源。

二、Flutter Blue Plus的强化配置 #

• 只扫专属UUID的设备：扫描时指定只找带自定义服务UUID的设备，减少无效扫描，也避免其他设备干扰。
  Dart示例代码：

  FlutterBluePlus.startScan(
    withServices: [Guid("你的专属服务UUID")],
    timeout: Duration(seconds: 4),
  );
  

• 连接后立刻做认证：连接成功第一时间向ESP32发送密钥或挑战响应结果，跳过认证的直接被ESP32断开。
• 禁用自动连接未知设备：不要用自动连接功能连任意设备，只针对你的ESP32的蓝牙地址或自定义UUID发起连接。
• 开启通信加密：在ESP32端把特征权限设为加密读写，Flutter Blue Plus读写时会自动启用加密，即使数据被拦截也没法解析。

三、通用安全建议 #

• 别硬编码密钥：不管ESP32还是Flutter应用，都别直接把密钥写死在代码里，可以第一次连接时做绑定，把密钥存在设备本地，后续用绑定关系认证。
• 定期换密钥：设计个密钥更新机制，隔段时间换一次认证密钥，降低泄露风险。
• 数据加签名：重要数据传输时加个数字签名，ESP32收到后先校验签名，防止数据被篡改。
• 隐藏广播敏感信息：ESP32的广播包别放设备名称、参数这些敏感内容，只留必要的自定义标识，减少被攻击的入口。
• 模拟测试非法连接：用Serial Bluetooth Terminal这类工具试着连，看看发错密钥会不会被断连、能不能访问特征，验证防护措施是否生效。

内容的提问来源于stack exchange，提问作者Bharath Kumar