Flutter中如何保护、混淆或隐藏.json服务账户文件？

如果不想把包含敏感信息的JSON文件打包到应用里，完全可以用类似dart-define的方式来处理，以下是几种实用方案：

• 直接用dart-define注入JSON内容
  把JSON里的配置直接转成命令行参数传递，比如：

  flutter run --dart-define=SPEECH_API_CONFIG='{"apiKey":"your_key","endpoint":"your_endpoint"}'
  

  代码里这样读取并解析：

  import 'dart:convert';
  
  final configJson = String.fromEnvironment('SPEECH_API_CONFIG');
  final config = jsonDecode(configJson);
  String apiKey = config['apiKey'];
  

  好处是完全不会把JSON文件打包进应用，避免被反编译获取；缺点是配置项多的时候命令行会很长。

• 用.env文件配合构建脚本管理
  创建一个.env文件（别提交到版本仓库），把配置写进去：

  SPEECH_API_CONFIG={"apiKey":"your_key","endpoint":"your_endpoint"}
  

  然后写个简单的shell脚本（比如run_app.sh）来读取.env并传递参数：

  #!/bin/bash
  CONFIG=$(cat .env | grep SPEECH_API_CONFIG | cut -d'=' -f2-)
  flutter run --dart-define=SPEECH_API_CONFIG="$CONFIG"
  

  这样每次运行直接执行脚本就行，不用手动输长命令，管理配置更方便。

• 借助配置包但避免打包敏感文件
  比如用flutter_dotenv这类包，但注意绝对不能把.env文件加到assets里，而是通过脚本把.env里的内容转成dart-define参数，或者在编译时自动生成包含配置的dart文件，确保敏感信息不会被打包进应用包内。

关键注意事项 #

• 绝对不要把含敏感信息的JSON文件添加到应用的assets资源中，APK/IPA包可以被轻易解压提取这类文件
• 所有敏感配置都要通过环境注入的方式传递，不要硬编码在代码里
• 发布构建时，要确保用生产环境的配置注入，别不小心用了测试环境的敏感信息

内容的提问来源于stack exchange，提问作者Waldson Fagundes