在Android Studio中使用Java开发时如何存储敏感数据？

Android生态中最贴合你原有.env使用习惯的方案是基于Gradle属性文件实现，操作流程如下：

1. 配置敏感信息存储文件 #

你可以直接用项目根目录默认生成的local.properties文件，这个文件默认已经被加入.gitignore规则，永远不会被提交到代码仓库。如果你想自定义命名比如secrets.properties，手动在.gitignore中添加对应文件名即可。

在属性文件中按键=值格式存储敏感信息：

# 示例配置
WEATHER_API_KEY=abc123def456
INTERNAL_DB_PASS=qwe789rty
ENV=development

2. 配置Gradle读取属性并注入编译变量 #

打开app模块的build.gradle（Groovy语法版本），添加代码读取属性文件内容，注入到自动生成的BuildConfig类中：

// 读取敏感属性文件
def secretPropFile = rootProject.file("local.properties")
def secretProps = new Properties()
secretProps.load(new FileInputStream(secretPropFile))

android {
    defaultConfig {
        // 注入属性到BuildConfig，注意String类型需要额外包裹转义引号
        buildConfigField "String", "WEATHER_API_KEY", "\"${secretProps['WEATHER_API_KEY']}\""
        buildConfigField "String", "INTERNAL_DB_PASS", "\"${secretProps['INTERNAL_DB_PASS']}\""
        buildConfigField "String", "ENV", "\"${secretProps['ENV']}\""
    }
}

3. Java代码中调用敏感值 #

完成Gradle配置后执行一次项目编译，Android会自动生成BuildConfig类，你可以在任意Java代码中直接读取对应值：

String apiKey = BuildConfig.WEATHER_API_KEY;
String dbPassword = BuildConfig.INTERNAL_DB_PASS;

4. 团队协作流程 #

和你之前使用.env的流程完全一致：

• 将不带真实敏感值的配置模板（比如命名为local.properties.example）提交到代码仓库，模板只保留键名和占位提示
• 真实带敏感值的属性文件统一存储在团队密码管理器中
• 新开发者拉取代码后，从密码管理器下载真实属性文件放到项目根目录，或者按照模板自行填充对应值即可正常启动项目

额外注意事项 #

• 不要将敏感信息存储在res/values/strings.xml等资源文件中，这类文件会被直接打包进APK，反编译即可轻松获取
• 该方案仅适合存储编译期固定的静态敏感值，运行时动态生成的用户隐私数据、token等建议使用Android Keystore加密存储
• 打Release包时建议配合代码混淆，降低BuildConfig被反编译直接读取的风险

内容的提问来源于stack exchange，提问作者BOMEz