如何在反编译场景下加密保护string.xml的value值以保障APK安全？

首先明确：Proguard本身不会混淆res/values下的字符串资源，你当前的配置无法保护string.xml的内容，以下是可直接落地的方案：

1. 字符串运行时加解密方案 #

• 不要把敏感字符串直接写在string.xml中，提前用AES/RC4等对称加密算法加密原始字符串，把加密后的Base64值存入string.xml
• 加密密钥拆分成多个片段，分散存放在不同的Native代码或者Java常量类中，运行时拼接密钥再解密对应字符串使用
• 不要把解密密钥硬编码写在单一位置，避免被反编译后直接批量解密所有字符串

2. Native层存储敏感字符串 #

• 把核心敏感字符串放到.so动态库中存储，Java层通过JNI接口调用获取字符串
• 可进一步对Native库加壳、混淆符号表，提高so文件的逆向门槛，相比纯Java层存储，Native层的逆向成本要高很多

3. 集成Gradle字符串加密插件 #

• 可使用开源的字符串混淆插件集成到打包流程，编译时自动对所有string.xml的value进行加密，打包后资源文件中存储的都是密文，插件会自动注入解密逻辑到App启动流程，运行时自动解密需要调用的字符串
• 配置示例（build.gradle中添加）：

// 对应插件配置，开启字符串加密
stringEncrypt {
    enable true
    encryptKey "自行设定的专属加密密钥"
    filterStrings = ["api_key", "token", "secret"] // 仅加密含指定关键词的字符串，降低性能损耗
}

• 该方案不需要手动修改业务代码，自动完成加解密流程，适合批量处理大量字符串的场景

4. 开启资源混淆 #

• 在现有Proguard基础上开启资源混淆能力，比如使用AndResGuard类工具，不仅会把res目录下的资源文件名混淆为短名称，还可对string.xml内容进行批量加密处理，同时进一步压缩安装包体积
• 注意资源混淆配置要和Proguard规则兼容，避免打包后出现资源找不到的异常

提示：以上所有方案仅能提高逆向成本，无法做到100%无法破解，极度敏感的内容建议不要存放在客户端本地，优先通过服务端接口动态获取使用。

内容的提问来源于stack exchange，提问作者Client Project