Android应用被反编译时如何尽可能安全地存储字符串

下面是几种实用的方案，能有效提升敏感字符串被反编译获取的难度：

1. 代码混淆与静态隐藏 #

• 开启R8/ProGuard混淆：在模块的build.gradle中启用混淆，配置合理的规则，让字符串相关的类、方法名被混淆成无意义的符号。注意要保留必要的组件（如Activity、Service）和第三方库的规则，避免应用崩溃。
• 避免直接定义常量字符串：不要用public static final String SENSITIVE_STR = "xxx";这种静态常量方式，改成动态赋值，比如：

  String sensitiveStr = new String(new char[]{'a', 'b', 'c', 'd'});
  

  这种方式能避开静态分析工具直接提取明文。

2. 加密存储与动态解密 #

• 对称加密（AES/DES）：将敏感字符串加密后再存储（比如存在SharedPreferences、数据库或代码中），运行时通过密钥解密。密钥不要硬编码，可结合设备参数（如硬件序列号、系统版本号）拼接后哈希生成，或者通过JNI从Native层获取。
• 非对称加密（RSA）：用公钥对字符串加密，运行时调用私钥解密。私钥可放在Native层或者通过动态加载的方式注入，避免在Java层暴露明文私钥。

3. 字符串动态生成与拆分 #

• 拆分拼接：把目标字符串拆分成多个子串，分散在代码的不同位置，运行时再拼接组合。比如：

  String part1 = "ab";
  String part2 = "cd";
  String fullStr = part1.concat(part2);
  

• 资源文件+二次处理：把字符串存在assets或res/raw目录，读取后进行简单的异或、位移处理，比如每个字符异或一个动态生成的数值（而非固定值），再转换为明文。

4. 借助Native层保护 #

• 存储到Native代码：把敏感字符串或加密后的字符串放在C/C++代码中，通过JNI接口供Java层调用。Native代码反编译难度远高于Java层，即使被逆向，也需要分析汇编代码才能提取内容。
• Native层完成解密逻辑：将加密后的字符串存在Native层，直接在Native层完成解密操作后返回明文给Java层，全程不在Java层暴露密钥和明文。

5. 其他细节优化 #

• 禁止日志泄露：调试阶段不要在Logcat中打印敏感字符串，即使是测试环境也要关闭相关日志输出。
• 内存及时清理：用完敏感字符串后，及时清空相关变量。比如将存储字符串的字符数组逐个置为0，减少明文在内存中停留的时间。

内容的提问来源于stack exchange，提问作者lanezalbryt