Flutter技术问题：如何防止修改依赖包中的Dart文件？

• 不要以源码依赖方式导入包
  如果你当前用path:或git:直接拉取源码的方式让客户端依赖包，客户端必然能看到并修改源码。改成发布到pub.dev（公开）或私有Pub仓库，客户端用版本号依赖（比如dependencies: your_package: ^1.0.0），这样客户端获取的是编译后的包文件，看不到原始Dart源码，自然无法修改。

• 对核心逻辑进行混淆或转移到原生层

  • Dart代码混淆：打包时执行flutter build --obfuscate --split-debug-info=./debug-info命令，混淆后的代码会把类名、方法名替换成无意义字符，即使有人反编译也很难理解业务逻辑。注意保存好debug-info目录下的文件，用于后续调试。
  • 核心逻辑原生实现：把最关键的业务逻辑放到Android的Kotlin/Java代码或iOS的Swift/OC代码中，通过Flutter的MethodChannel调用。原生代码可以用各自平台的混淆工具（比如Android的ProGuard/R8，iOS的代码混淆器）处理，安全性更高。

• 严格控制包内成员的访问权限
  把包内不需要对外暴露的变量、方法、类都用下划线_前缀标记为私有，只提供必要的公共接口供客户端调用。这样就算客户端能拿到源码，也无法直接修改内部的私有逻辑。

• 加入运行时完整性校验
  可以在包的初始化逻辑里，对核心业务文件的哈希值进行校验（比如提前计算好文件的SHA-256值，硬编码到包的安全位置），运行时重新计算当前文件的哈希并对比，如果不一致就触发错误或终止运行。不过这种方式要考虑不同平台的文件路径差异，以及性能开销。

内容的提问来源于stack exchange，提问作者Nikita Patil