React Native Android端内存Dump敏感信息泄露问题求助

一、Axios层面优化 #

• 清理拦截器中的敏感数据残留：检查Axios的请求/响应拦截器，避免在拦截器闭包、日志缓存中留存完整请求体（尤其是含密码的登录请求）。如果拦截器有记录请求的逻辑，处理完即刻销毁相关变量，不要长期持有引用。
• 用完即清空敏感请求数据：构造登录请求时，用局部变量存储密码和请求体，请求完成后立即将敏感字段置空，让JS引擎能及时回收这部分内存。示例代码：

const handleLogin = async (username, password) => {
  const reqBody = { username, password };
  try {
    await axios.post('/api/login', reqBody);
  } finally {
    // 强制清空敏感字段
    reqBody.password = null;
  }
};

• 关闭Axios的缓存/重试机制：检查Axios实例配置，确保未开启会缓存请求数据的cache、retry相关选项，这类配置可能会在内存中持久化存储请求内容。

二、React Native内存管理优化 #

• 手动触发垃圾回收：在登出流程中调用global.gc()（需确保Hermes引擎启用，生产环境需提前配置Hermes允许手动GC），帮助回收未被引用的敏感数据内存。
• 清理组件中的敏感数据引用：登出时，清空所有持有登录请求数据的组件状态、ref。类组件可在componentWillUnmount中处理，函数组件则在useEffect的清理函数中把相关状态设为null。

三、排查其他泄漏点 #

• 清空Redux Persist存储：即使Store未存密码，也要确认persist的持久化缓存中没有意外留存action payload或中间数据。登出时调用persistStore.purge()清空存储，同时重置Redux状态。
• 排查第三方依赖的隐式缓存：除Sentry外，检查日志、监控类依赖库，暂时禁用非核心库测试，确认是否有第三方库在后台缓存请求数据。

• 自定义Frida脚本：编写Frida脚本Hook React Native的核心网络API（Axios.request、fetch、XMLHttpRequest.send），捕获所有请求的调用链路和中间处理逻辑，定位参与请求的中间件。示例片段：

// Hook Axios请求方法
Interceptor.attach(Module.findExportByName(null, 'axios.request'), {
  onEnter(args) {
    const config = args[0];
    console.log('Axios请求配置:', JSON.parse(config.readUtf8String()));
  }
});

// Hook底层XHR发送方法
Interceptor.attach(Module.findExportByName(null, 'XMLHttpRequest.send'), {
  onEnter(args) {
    const reqData = args[0];
    if (reqData) console.log('XHR发送数据:', reqData.readUtf8String());
  }
});

• React Native Debugger：启用Network标签查看所有请求，结合断点调试跟踪请求从组件到网络库的完整调用流程，识别所有参与的中间件。
• Hermes Inspector：使用Hermes的内存快照功能，搜索敏感关键词定位内存中数据的引用链，找到对应的中间件或存储位置。

内容的提问来源于stack exchange，提问作者Franklin Velásquez