Expo OTA打包包含.env明文密钥，如何修复该安全问题？

你的使用方式确实存在设计层面的问题：Expo的打包（包括OTA导出流程）会将.env中的环境变量在编译阶段直接替换为字面量写入JS产物，本质是硬编码到代码中，而OTA包本身是公开可下载的，因此必然会出现明文密钥泄露的问题。所有客户端侧JS代码中硬编码的敏感信息都不存在绝对安全的存储方式，混淆只能提高逆向成本，无法从根本解决泄露风险。

优先级最高的根因修复方案 #

不要将永久敏感凭证（固定API用户名、密码）存储在任何客户端侧代码中，调整认证逻辑：

• 新增后端中转层，由后端存储固定的API用户名密码
• 客户端走OAuth2客户端凭证流/你现有认证体系，向后端申请短期有效、权限可控的访问令牌
• 后续所有API请求都使用该短期令牌发起，客户端全程不持有永久敏感凭证，从根源避免打包泄露问题

临时混淆方案（仅用于无法调整后端逻辑的过渡阶段） #

方案1：避免密钥打入OTA包 #

• 移除.env中存储的敏感凭证，不要在构建阶段注入
• 客户端首次启动时，走加密传输的私有接口从你可控的服务端拉取密钥，存储到expo-secure-store的设备安全存储区域
• 后续发起认证请求时直接从expo-secure-store读取密钥使用，OTA产物中不存在任何密钥相关的硬编码内容

方案2：构建阶段字符串混淆 #

如果必须在构建阶段注入密钥，需要配置打包混淆规则：

1. 安装react-native-obfuscating-transformer等JS代码混淆插件，在metro.config.js中配置混淆规则，对字符串常量做加密混淆
2. 在app.json中配置expo-build-properties插件，开启生产构建的minify、uglify能力，禁止生成sourcemap
3. 不要直接在代码中拼接包含密钥的字符串，避免混淆工具无法识别对应内容：

// 错误写法：会被直接识别为字符串拼接
const body = `username=${USER}&password=${PASSWORD}`;
// 优化写法：拆分变量，增加混淆识别概率
const userKey = atob('dXNlcm5hbWU=');
const pwdKey = atob('cGFzc3dvcmQ=');
const body = new URLSearchParams({[userKey]: USER, [pwdKey]: PASSWORD}).toString();

• 所有客户端侧的混淆都只能提高逆向成本，无法完全避免密钥泄露，只要密钥存在于客户端中就有被逆向获取的可能
• 不要将解密密钥、加密盐等信息也硬编码到代码中，否则混淆完全无效

内容的提问来源于stack exchange，提问作者morf