Android中如何对包名与函数名编码以提升应用反分析能力？

核心结论 #

手动修改完全不现实，必须用自动化混淆工具，这是行业标准做法。

具体实现思路 #

1. 主流混淆工具选择 #

• ProGuard/R8：Android Studio自带的免费混淆工具，默认集成在构建流程中。只需配置proguard-rules.pro文件，即可开启类名、方法名、字段名的混淆。例如添加自定义混淆字典规则，让混淆后的名称更无意义：

  -obfuscationdictionary proguard-dict.txt
  -classobfuscationdictionary proguard-dict.txt
  -packageobfuscationdictionary proguard-dict.txt
  

• DexGuard：ProGuard的商业增强版，支持更深度的混淆逻辑，包括字符串加密、资源混淆、动态加载代码混淆等，反逆向能力更强。
• 第三方加固平台：如360加固保、腾讯乐固，除了基础的名称混淆，还自带壳保护、反调试、反内存dump等功能，适合不想自行配置复杂规则的场景。

2. 关键配置要点 #

• 保留必要组件：与系统交互的Activity、Service、BroadcastReceiver，以及JNI调用方法、序列化类等，必须用-keep规则保留，否则会导致APP崩溃。
• 自定义混淆字典：不要使用默认的a/b/c类命名，自行生成包含随机字符、非ASCII字符的字典，让逆向者更难通过命名推测功能。
• 开启代码优化：配合混淆开启代码压缩（移除未使用的类/方法）和逻辑优化（合并类、简化分支），进一步打乱原有代码结构。

3. 进阶混淆技巧 #

• 包名深度混淆：将原层级化包名（如com.example.app.ui）混淆为无意义的单层级或乱码包名（如a.b.c或特殊字符组合包名）。
• 全量函数混淆：除对外暴露的接口（如SDK公开方法），所有私有、内部业务方法全部混淆，不留任何语义化命名线索。
• 字符串加密：将代码中的硬编码字符串加密，运行时动态解密，避免逆向者通过字符串快速定位关键业务逻辑。

注意事项 #

• 混淆后必须做全量测试：混淆可能破坏反射、序列化、JNI调用等逻辑，需覆盖所有业务场景验证功能完整性。
• 谨慎混淆资源文件：普通资源文件名混淆易导致引用失败，如需混淆需使用专门工具（如AndResGuard）配合处理。

内容的提问来源于stack exchange，提问作者Dream811