RN/Expo应用中隐藏API密钥的常用方法有哪些？

仅将密钥写入普通配置文件直接引入完全达不到防盗效果，这类明文配置会直接打包进JS产物，反编译App很容易提取到密钥。以下是RN/Expo场景下的正确操作方案：

这是安全等级最高的方案，从根源避免前端持有敏感密钥：

• 所有需要调用谷歌地图、AWS服务的请求全部转发到你的自有后端，密钥仅存储在后端的私有环境变量中，前端不需要接触任何长期有效密钥
• 对接AWS时可配合使用AWS Cognito做用户身份校验，仅给合法用户下发短期访问凭证，禁止将长期AK/SK配置在前端

如果确实存在需要前端直接调用第三方接口的场景，不要自行创建普通JS配置文件，使用Expo内置的环境变量能力：

• 在项目根目录创建.env文件，第一时间将.env添加到.gitignore规则中，禁止该文件提交到代码仓库
• 所有前端可访问的环境变量必须以EXPO_PUBLIC_为前缀命名，示例：

  EXPO_PUBLIC_GOOGLE_MAPS_API_KEY=你的谷歌地图密钥
  

• 业务代码中直接通过process.env.EXPO_PUBLIC_GOOGLE_MAPS_API_KEY即可调用，Expo构建时会自动注入对应值，避免密钥硬编码在业务代码中

注意：该方案仅能避免密钥提交到代码仓库、避免明文出现在业务代码中，无法阻止攻击者通过反编译App提取密钥，因此仅可用于配置权限受限的公开类密钥，不能存放高权限服务密钥

不管用哪种方案，都需要做额外的权限限制避免密钥泄露后的损失：

• 谷歌地图等第三方服务的API密钥必须在对应服务商后台配置访问限制，比如限制仅你的App包名、签名可调用，限制单日调用额度，即便密钥泄露也无法被滥用
• AWS侧遵循最小权限原则，所有访问凭证仅开放必要的服务调用权限，禁止使用管理员权限的密钥对接前端
• 不要在日志、错误上报内容中打印任何密钥信息

内容的提问来源于stack exchange，提问作者MK_Pierce