如何加密Android应用沙箱？Kotlin单文件加解密最佳实践

一、Root设备下完全保护沙箱文件是否可行？ #

完全不可行。哪怕你对沙箱内所有文件加密，只要你的应用本身需要解密这些文件来使用，拥有root权限的攻击者就能通过多种方式获取明文内容：

• Dump应用运行时内存，从中提取解密密钥或明文数据；
• Hook应用的加密/解密方法，直接获取明文输出；
• 拦截应用与Android Keystore的交互，获取密钥使用权限。

Android沙箱在非root设备上是安全的，但root会打破所有系统级权限隔离，没有任何方案能100%阻止root用户访问应用敏感数据。

二、Kotlin实现单个文件加解密的最佳实践 #

1. 优先使用官方Jetpack Security库 #

Android官方的Jetpack Security封装了成熟的加密逻辑，能避免自行实现加密时的常见漏洞（比如密钥管理不当、算法误用）。

2. 用Android Keystore管理密钥 #

Android Keystore是系统级密钥存储容器，生成的密钥无法被导出，支持硬件级加密（依赖设备TEE/SE安全环境），能最大程度降低密钥泄露风险。

3. 推荐使用AES-GCM算法 #

AES-GCM是认证加密算法，既能保证数据机密性，又能验证数据完整性（防止篡改），Jetpack Security的EncryptedFile默认使用该算法。

具体实现代码示例 #

步骤1：添加依赖

在Module级别的build.gradle中引入依赖：

dependencies {
    implementation "androidx.security:security-crypto:1.1.0-alpha06"
}

步骤2：生成并获取加密主密钥

import androidx.security.crypto.MasterKey

fun getMasterKey(context: Context): MasterKey {
    return MasterKey.Builder(context)
        .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
        .build()
}

步骤3：加密写入文件

import androidx.security.crypto.EncryptedFile
import java.io.File
import java.io.OutputStreamWriter

fun writeEncryptedFile(context: Context, fileName: String, content: String) {
    val masterKey = getMasterKey(context)
    val targetFile = File(context.filesDir, fileName)

    val encryptedFile = EncryptedFile.Builder(
        context,
        targetFile,
        masterKey,
        EncryptedFile.FileEncryptionScheme.AES256_GCM_HKDF_4KB
    ).build()

    encryptedFile.openFileOutput().use { outputStream ->
        OutputStreamWriter(outputStream).use { writer ->
            writer.write(content)
        }
    }
}

步骤4：解密读取文件

import java.io.InputStreamReader

fun readEncryptedFile(context: Context, fileName: String): String {
    val masterKey = getMasterKey(context)
    val targetFile = File(context.filesDir, fileName)

    val encryptedFile = EncryptedFile.Builder(
        context,
        targetFile,
        masterKey,
        EncryptedFile.FileEncryptionScheme.AES256_GCM_HKDF_4KB
    ).build()

    return encryptedFile.openFileInput().use { inputStream ->
        InputStreamReader(inputStream).use { reader ->
            reader.readText()
        }
    }
}

关键注意事项 #

• 绝对不要硬编码密钥，也不要将密钥存储在SharedPreferences、明文文件等可被访问的位置；
• 处理加密/解密过程中的异常（如IOException、SecurityException），避免崩溃或泄露敏感信息；
• 对于API低于23的设备，Jetpack Security会自动降级处理，但建议优先在API 23+设备上使用高级加密特性；
• 加密大文件时，EncryptedFile的4KB分块加密方式比一次性加密整个文件更节省内存。

内容的提问来源于stack exchange，提问作者Bungles