如何让我的Android应用源代码难以被逆向工程破解？

• 开启R8代码混淆
  这是Google官方提供的原生防护能力，也是你看到的Google Play应用默认采用的基础防护手段。你只需要在模块级build.gradle的release构建配置中，将minifyEnabled设置为true，同时可打开shrinkResources开关移除无用资源，再到proguard-rules.pro中配置不需要混淆的豁免规则（四大组件、JNI接口、自定义View等类混淆后会导致运行异常，需要加入豁免列表）。混淆后的release包反编译后，类名、方法名、非全局变量名都会被替换为a、b、c这类无意义单字符，直接大幅降低代码可读性。
• 敏感字符串加密
  原生R8混淆不会处理代码中的明文字符串，逆向者可以通过搜索接口地址、业务提示文案、错误码等关键词快速定位核心逻辑。你可以对所有敏感字符串做自定义加密存储，在代码运行到对应位置时再动态解密，也可以接入第三方混淆插件实现全量字符串自动加密，避免明文信息泄露给逆向者提供定位线索。
• 核心逻辑下沉JNI层
  将支付校验、身份鉴权、核心业务算法等关键逻辑从Java/Kotlin层迁移到C/C++实现，编译为so动态库打包进APK。相对于dex文件，so文件的逆向分析门槛高很多，你还可以额外对so做符号混淆、控制流平坦化处理，进一步提升破解难度。
• 接入应用加壳服务
  可以使用市面上的安卓应用加固服务对最终的APK做整体加壳处理，加壳后的应用会被壳代码包裹，常规反编译工具直接无法解析到原始dex代码，需要逆向者先完成脱壳才能进行后续分析，对绝大多数非专业破解者有极强的阻挡效果。
• 新增反分析检测逻辑
  可以在代码中加入反调试、反模拟器、反Hook检测逻辑，一旦检测到应用处于被调试状态、运行在模拟器环境、被Xposed/Frida等Hook工具注入的状态，就直接闪退、抛出异常或者返回伪造的错误数据，干扰逆向分析流程。还可以开启控制流混淆，将正常的代码执行流程拆分成大量跳转分支，就算逆向者拿到反编译代码也很难梳理清楚执行逻辑。

注意：不存在100%无法破解的防护方案，所有防护手段的核心都是提升逆向成本，只要成本高于破解者能获得的收益，就能达到防护目标。

内容的提问来源于stack exchange，提问作者sweetpoision