如何查找APK文件中的UUID格式API密钥？

DevOps 小满

2026-8-6

查找APK中UUID格式API密钥的常见隐藏位置

以下是开发者常用来隐藏UUID格式API密钥的APK内位置，你可以逐一排查：

资源文件（res目录）
密钥可能藏在values/strings.xml、values/arrays.xml这类资源文件里，甚至是自定义命名的资源XML。有些开发者会给密钥起模糊的名称，比如app_config_token而非直接叫api_key，可以用文本搜索工具在反编译后的res目录下全局搜索xxxx-xxxx-xxxx-xxxx这类UUID格式特征。
assets目录下的配置文件
很多开发者会将密钥放在assets文件夹的JSON、XML、普通文本文件中，比如config.json、secret.cfg。直接打开这些文件，搜索UUID格式字符串即可。
混淆后的代码（smali/Kotlin字节码）
由于是Kotlin编写的APK，反编译转Java时可能因混淆丢失关键信息。可以尝试在smali目录下全局搜索UUID特征字符串，或者查找调用UUID.fromString()这类方法的代码，顺着调用链定位传入的参数。另外，部分开发者会把密钥拆分成多个字符串片段，在代码中动态拼接，需要留意这类拼接逻辑。
Native层so文件
如果APK包含lib目录下的so文件，密钥可能被藏在Native代码中。可以用逆向工具（如IDA Pro、Ghidra）分析so文件，搜索字符串或排查加密解密逻辑——有些开发者会将密钥加密后存在so里，运行时再解密调用。
BuildConfig类
部分API密钥会通过构建时的环境变量注入到BuildConfig类中，反编译后可在com/your/package/BuildConfig.class（对应Java）或Kotlin字节码里查找，里面可能存在类似public static final String API_KEY = "xxx-xxx-xxx"的字段。
加密后的本地存储
更隐蔽的情况是开发者将密钥加密后存储在SharedPreferences、Room/SQLite数据库，或是私有文件中，运行时再解密使用。这种情况需要找到解密逻辑的代码，跟踪密钥的解密流程才能获取原始UUID。