Android按钮点击日志是否存在安全风险？密码输入方案咨询

问题背景 #

我在开发一款Android兴趣应用时，为了满足设计需求，用按钮而非文本框实现了密码输入表单，但发现日志中会记录按钮的点击信息：

I/View: PerformClick: com.google.android.material.button.MaterialButton{dabaa04 VFED..C.. ...p..ID 308,91-462,182 #7f08005d app:id/auth_btn5
I/View: MotionEvent.ACTION_UP: mPrivateFlags: -2128459728,   mHasPerformedLongPress: false,   mIgnoreNextUpEvent: false

从日志能看到按钮的ID（比如auth_btn5），担心这会被人利用破解密码，现提出两个疑问：

1. 若按钮上的数字不随机，从实际角度看是否存在安全风险？也就是他人获取到调试日志的概率有多大？
2. 最佳的规避方法是什么？该方法能否保留原有外观？

问题1：实际安全风险分析 #

• 普通用户场景无风险：调试日志仅在设备开启USB调试模式时才会输出，正常使用App的普通用户不会触发这类日志记录。
• 攻击者获取日志的门槛高：要拿到日志，攻击者需要物理接触用户设备并开启USB调试连接电脑，或者在设备上安装能读取系统日志的恶意应用——后者需要设备Root权限或用户主动授予敏感权限，这类情况在普通用户中极少发生。
• 风险前提：如果按钮ID和数字直接绑定（比如auth_btn5对应数字5），一旦日志泄露，确实能直接还原出密码输入序列，但对于非高敏感的兴趣类应用，这种极端情况的概率极低。

问题2：最佳规避方案（均保留原有外观） #

方案1：修改按钮ID命名（成本最低） #

• 移除按钮ID中的数字关联，比如把auth_btn5改成auth_keypad_btn_0、auth_keypad_btn_1这类通用命名，甚至用auth_btn_x、auth_btn_y这种无意义标识。
• 仅修改布局文件中的ID，完全不影响按钮的外观和交互逻辑，日志中的ID无法直接对应密码数字。

方案2：正式版禁用调试日志（推荐） #

• 在发布正式版App时，彻底关闭调试日志输出：
  1. 在Module级别的build.gradle中，将release构建类型的debuggable设为false：

     buildTypes {
         release {
             debuggable false
             minifyEnabled true
             // 其他发布配置
         }
     }
     

  2. 代码中通过BuildConfig控制日志输出，避免正式版打印调试日志：

     if (BuildConfig.DEBUG) {
         // 仅在Debug模式下输出日志
         Log.i("View", "PerformClick: ...");
     }
     

• 从根源切断日志泄露的可能，完全保留按钮的原有设计。

方案3：动态映射按钮与数字（进阶） #

• 在代码初始化时，动态给按钮分配显示的数字，比如每次启动App时随机打乱按钮和数字的对应关系，或者固定映射但不在ID中体现。
• 即使日志泄露，攻击者也无法通过按钮ID直接对应密码数字，同时完全保留按钮外观，适合对安全性有更高要求的场景。

内容的提问来源于stack exchange，提问作者Hydronic