如何保护Flutter应用机密信息免遭逆向工程窃取

1. 硬编码在普通.dart文件里的敏感信息，打包发布后完全可以被逆向获取 #

你加的.gitignore只负责阻止敏感文件被提交到代码仓库，和打包进安装包的内容没有任何关系。
Flutter release构建虽然会做AOT编译把dart代码转成机器码，但代码里写死的字符串常量（比如你存的API密钥）会直接放在二进制文件的常量段里。逆向人员用现成的Flutter逆向工具，扫一遍包内的字符串特征、反编译核心快照，很快就能把这些硬编码的密钥扒出来，获取门槛非常低。

2. 用.env搭配flutter_dotenv的方案没有本质安全提升，甚至更容易被提取 #

这个方案的逻辑是把.env文件作为静态资源打进安装包的assets目录，逆向人员根本不需要做复杂的反编译，只要把APK/IPA改后缀解压，在资源文件夹里就能找到完整的.env明文文件，里面存的所有密钥直接裸奔，比从编译后的dart代码里找常量还方便。

两者没有本质区别，都防不住逆向破解。
不管你是把密钥写在dart文件里编译进二进制，还是放在.env这类资源文件里，本质都是把敏感信息明文放在客户端本地。只要密钥存在客户端，逆向人员总能通过资源提取、字符串扫描、运行时内存Dump等方式拿到明文内容，不存在哪种方案防护性更强的说法。

• 高权限核心密钥（比如服务端签名密钥、支付密钥、第三方服务的服务端级API凭证）绝对不要存客户端，所有需要用到这类密钥的请求全部走自有服务端代理，客户端只和你自己的服务端通信，从根源上避免核心密钥泄露。
• 必须存在客户端的低权限凭证（比如公开的客户端标识类Key），可以做混淆处理：比如把密钥拆成多段乱序存储、运行时动态拼接，或者用自定义算法加密后存储，运行时再解密。这类手段没法100%防住专业逆向人员，但能大幅提高破解成本，挡住绝大多数批量扫密钥的脚本攻击。
• 永远不要把客户端作为安全防线，所有鉴权、权限校验逻辑必须在服务端实现，客户端本身就是不可信的执行环境。

内容的提问来源于stack exchange，提问作者blend