如何防止自定义APP中NTAG213芯片认证密码被逆向获取？

针对保护内置NTAG213认证密码、防止源码泄露风险的问题，你可以从以下几个方向入手：

• 代码混淆：给应用代码做混淆处理，Android端用ProGuard或R8，iOS端用Obfuscator-LLVM这类工具。混淆会把原本有意义的类名、方法名、变量名替换成无意义的字符，就算应用被反编译，逆向者也很难快速定位到存储密码的逻辑和位置。

• 加密存储敏感内容：绝对不能明文存储密码，用AES对称加密或者RSA非对称加密对密码加密后再保存。注意加密密钥不能硬编码在代码里，可以结合设备唯一标识（比如Android的Android ID、iOS的IDFA，需合规获取权限）或者用户设置的辅助信息生成密钥，就算加密后的密文被提取，没有密钥也无法还原出明文密码。

• 利用系统硬件安全模块：借助平台提供的硬件级安全存储能力，比如Android的Keystore、iOS的Keychain。这些模块会将加密后的密码存储在硬件层面，应用只能通过官方API调用完成认证操作，无法直接获取明文密码，逆向者很难绕过硬件级别的保护机制。

• 动态获取/生成密码：不要在应用中固定写入密码。比如每次认证前从后端接口获取临时有效的认证密码，使用后立即失效；或者结合设备硬件信息（如CPU序列号、主板信息）实时计算出密码，让代码中不存在固定的密码值，从根源上避免硬编码泄露风险。

• 加强应用防逆向防护：添加调试器检测、root/jailbreak检测逻辑，一旦发现应用处于逆向环境就终止运行；对应用进行加固处理，Android可用第三方加固工具，iOS依赖App Store的原生加密+第三方加固，大幅提升逆向破解的门槛。

内容的提问来源于stack exchange，提问作者voldomazta