React Native中CodePush密钥存于Strings.xml遭泄露的解决方案咨询

问题背景 #

你当前在React Native Android应用中将CodePush部署密钥存放在Strings.xml中，但漏洞测试发现密钥会从该文件泄露，需要更安全的存储方式或防护手段。

替代存储方案 #

1. 利用Android NDK加密存储 #

将密钥编译进NDK生成的so库中，通过JNI接口在运行时获取，大幅提升逆向难度：

• 编写C/C++代码，将密钥硬编码（配合代码混淆）并提供获取方法
• 编译成so文件，在React Native模块中通过JNI调用获取密钥
• JNI方法伪代码：

#include <jni.h>
#include <string>

extern "C" JNIEXPORT jstring JNICALL
Java_com_yourapp_utils_CodePushKeyHelper_getDeploymentKey(JNIEnv* env, jobject thiz) {
    std::string key = "YOUR-CODEPUSH-KEY";
    return env->NewStringUTF(key.c_str());
}

• React Native中调用：

import { NativeModules } from 'react-native';
const deploymentKey = NativeModules.CodePushKeyHelper.getDeploymentKey();

2. 使用Android Keystore系统 #

借助Android系统原生的Keystore安全容器，将加密后的密钥存储在SharedPreferences，运行时解密：

• 生成密钥对存入Keystore，用公钥加密CodePush密钥
• 将加密后的密钥存储到SharedPreferences
• 运行时用Keystore中的私钥解密获取原始密钥
• 核心Kotlin代码示例：

// 加密并存储密钥
val keyStore = KeyStore.getInstance("AndroidKeyStore")
keyStore.load(null)
val publicKey = keyStore.getCertificate("CodePushKeyAlias").publicKey
val cipher = Cipher.getInstance("RSA/ECB/PKCS1Padding")
cipher.init(Cipher.ENCRYPT_MODE, publicKey)
val encryptedKey = cipher.doFinal("YOUR-CODEPUSH-KEY".toByteArray())

getSharedPreferences("AppPrefs", Context.MODE_PRIVATE)
    .edit()
    .putString("encrypted_code_push_key", Base64.encodeToString(encryptedKey, Base64.DEFAULT))
    .apply()

// 解密获取密钥
val privateKey = keyStore.getKey("CodePushKeyAlias", null) as PrivateKey
cipher.init(Cipher.DECRYPT_MODE, privateKey)
val encryptedBytes = Base64.decode(sharedPrefs.getString("encrypted_code_push_key", ""), Base64.DEFAULT)
val originalKey = String(cipher.doFinal(encryptedBytes))

3. 从后端动态获取密钥 #

不在本地存储密钥，应用启动时通过身份校验从后端服务获取：

• 后端需做身份验证（比如基于设备ID、应用签名等），仅向合法设备返回密钥
• React Native启动时发起HTTPS请求获取密钥，再传入CodePush初始化
• 示例代码：

import CodePush from 'react-native-code-push';

async function initCodePush() {
    try {
        // 携带身份信息请求后端接口
        const response = await fetch('https://your-backend.com/api/codepush-key', {
            headers: {
                'Authorization': 'Bearer ' + await getAuthToken(),
                'Device-ID': await getDeviceId()
            }
        });
        const { deploymentKey } = await response.json();
        CodePush.sync({ deploymentKey });
    } catch (error) {
        // 处理获取失败逻辑，比如使用备用密钥或禁用热更
        console.error('Failed to get CodePush key:', error);
    }
}

initCodePush();

若仍需使用Strings.xml的防护手段 #

• 开启ProGuard/R8混淆：在build.gradle中启用混淆，配置规则对敏感字符串进行混淆，增加逆向破解成本
• 存储加密后的密钥：在Strings.xml中存放加密后的密钥，运行时在代码中解密，避免明文暴露
• 拆分密钥片段：将密钥拆分为多段存储在不同位置，运行时拼接还原，降低单一泄露风险

内容的提问来源于stack exchange，提问作者Soham Jani