如何在React Native应用中隐藏index.android.bundle内的敏感API密钥

核心问题说明 #

react-native-dotenv无法实现密钥隐藏是其实现逻辑决定的：该库仅在编译打包阶段将代码中的环境变量占位符替换为你配置的明文字符串，最终生成的index.android.bundle文件中本身就包含替换后的明文密钥，反编译后自然可以直接提取。

可行解决方案 #

• 方案一：端侧混淆加密（提高破解门槛） #

  不要将密钥直接放在JS层的代码或环境变量中，将密钥拆分为多段无意义的字符串，分别存储在Android/iOS的原生层代码中，原生层拼接后通过对称加密（如AES）处理，仅给JS层暴露调用接口，密钥的解密和使用逻辑全部在原生层完成。
  Android端打包时开启minifyEnabled true和shrinkResources true开启原生代码混淆，同时可以配合react-native-obfuscator等工具对JS bundle进行整体混淆，将字符串常量转编码处理，大幅提高明文提取的难度。

  该方案仅提高破解成本，无法100%避免密钥被技术能力较强的人员提取，适合安全要求中等的场景。

• 方案二：后端中转代理（安全性最高） #

  完全不在端侧存储敏感API密钥，所有需要调用该密钥对应第三方接口的请求，全部先转发到你自己的后端服务，由后端服务携带API密钥请求第三方接口，再将结果返回给端侧。你可以在后端层额外增加用户身份校验、请求频率限制等防护规则，从根源上杜绝密钥泄露的风险。

• 方案三：系统级安全存储 #

  针对必须在端侧留存密钥的场景，Android端将密钥存入系统KeyStore，iOS端存入系统Keychain，两类都是系统层面的安全存储区域，普通反编译手段无法直接读取存储内容。所有密钥的读取、加密、签名操作全部在原生层执行，JS层仅获取操作结果，全程不传递明文密钥。

内容的提问来源于stack exchange，提问作者bhattaraijay05