Google Play控制台提示OAuth刷新令牌泄露，如何定位检测代码中的令牌？

手动检测步骤 #

• 全局搜索代码库：在IDE中开启全局搜索，直接搜关键词refresh_token，同时留意长格式的随机字符串（OAuth刷新令牌通常是较长的无规则字符组合）。另外要检查是否有base64编码后的令牌，可尝试解码疑似字符串验证。
• 排查配置文件：重点查看strings.xml（Android）、Info.plist（iOS）、.env、gradle.properties这类配置文件，确认是否有硬编码的刷新令牌。
• 检查第三方依赖：如果集成了第三方SDK或开源库，核对其配置逻辑，避免不小心将令牌硬编码进依赖相关的代码或配置中。

工具检测方案 #

• IDE内置检查：Android Studio/IntelliJ IDEA可开启Inspections中的Sensitive Data Exposure规则，自动扫描代码中硬编码的敏感信息，包括OAuth令牌。
• 静态代码分析工具：使用detekt（适用于Kotlin/Java项目）或semgrep，自定义规则扫描与OAuth相关的敏感字符串，快速定位硬编码内容。
• 二进制文件扫描：若已生成APK包，可先用apktool反编译，再在反编译后的文件中搜索关键词；也可直接用grep命令扫描APK：grep -r "refresh_token" your-app.apk。

额外注意 #

如果是通过接口动态获取的刷新令牌，一定要确保仅在运行时存储（比如Android的Keystore容器），绝对不能将其硬编码到代码或静态配置文件中。

内容的提问来源于stack exchange，提问作者Murat