React Native生产构建：哪些文件会被纳入APK/iOS包及密钥安全咨询

首先明确核心结论：只有应用运行必需的代码、资源、配置才会被打包进最终的APK/AAB，你提到的Fastlane文件、keystore密钥文件默认都不会被包含进去，但也要注意一些可能的例外情况。

绝对不会被打包的文件 #

• Fastlane相关文件：不管是根目录的Fastfile、Appfile，还是Fastlane子目录里的所有脚本配置，这些都是用于CI/CD自动化打包、上传的工具文件，构建过程中只是用来执行流程，完全不会被塞进应用包。
• android/目录下的.keystore文件：这个文件仅用于给APK/AAB做数字签名，签名完成后密钥本身不会被打包进应用包——签名只是给包加个身份标识，不是把密钥嵌进去。
• 项目根目录的其他配置文件：比如README.md、.gitignore、gradle.properties（除非你在代码里主动读取并把内容嵌入应用）、本地.env文件（没配置为资源的话）等，默认都不会被打包。

可能导致敏感信息泄露的风险场景 #

如果出现以下操作，你的机密信息可能会意外被打包：

• 代码中主动读取了Fastfile或keystore的内容，并把这些硬编码的机密嵌入到了应用的字符串、asset资源或者代码逻辑里。
• 误把Fastfile、.keystore这类文件放到了android/app/src/main/assets/或res/目录下——这两个目录下的所有文件都会被默认打包进应用包。
• Fastlane里的硬编码机密被用来生成应用内的配置（比如动态写入到应用的xml或json配置文件中），那这部分机密会跟着配置文件一起被打包。

如何验证是否有敏感信息被打包 #

• 生成生产APK后，把后缀改成.zip解压，直接查看里面的文件结构，就能确认有没有不该出现的敏感文件。
• 如果是AAB包，可以用bundletool工具把它转换成APK后再检查内容。
• 检查android/app/build.gradle里的sourceSets配置，确认没有错误把敏感文件所在的目录添加到了打包资源里。

安全修复建议 #

• 立刻把Fastlane文件里的硬编码机密删掉，改用环境变量、CI/CD平台的保密变量，或者Android Studio的密钥库助手来存储这些敏感信息。
• 给.keystore文件设置严格的权限（仅当前用户可读），绝对不要把它提交到Git等版本控制系统里。
• 每次发布前都检查一下打包后的文件内容，避免敏感信息意外泄露。

内容的提问来源于stack exchange，提问作者Dirk