如何保存文件实现仅本应用可打开（适配root与非root设备）

针对需要限制html、epub文件仅能通过自有应用读取、禁止未授权导出打开的需求，可按照分层防护的思路组合实现，兼顾普通用户体验和Root设备的防护能力：

非Root设备的基础防护层 #

• 直接将加密后的文件存入应用私有沙箱目录，也就是应用专属的/data/data/你的应用包名/路径下。这类目录是Android系统自带的权限隔离区域，非Root状态下普通文件管理器、第三方应用没有任何读取权限，用户根本无法浏览、复制目录内的文件，从根源上避免文件被直接导出的可能。注意绝对不要将文件存入公共Download、Documents等全局可见的存储目录，这类目录本身就会被所有文件扫描应用识别，没有隔离效果。
• 落盘文件全程加密存储，不要以明文形式存原始html、epub文件。可以用AES-256算法对原始文件做对称加密后再写入沙箱，加密密钥通过Android Keystore硬件安全模块托管，不硬编码在客户端代码中；应用需要读取文件时，在内存中解密生成只读流，直接传给内置的WebView、epub渲染组件做展示，全程不要把解密后的明文临时文件写到磁盘上，内存中的解密数据在页面加载完成后及时回收。就算文件被特殊手段拷走，没有对应密钥拿到的也只是无法识别的乱码，根本没法在其他应用打开。
• 严格管控应用对外的文件访问出口：不要配置允许外部应用直接访问应用内文件的Uri权限，所有需要共享文件的场景必须通过应用自研的FileProvider做权限校验，且对外授权时只给临时的只读权限，操作完成立刻回收。同时在应用内主动移除所有“导出文件、分享到本地、保存到其他应用”的用户入口，避免用户主动操作导出文件。

Root设备的强化防护层 #

Root状态下应用私有沙箱的系统权限隔离会失效，用户可以直接绕过权限读取应用目录内的文件，需要补充强化防护手段：

• 增加Root环境的动态校验，一旦检测到设备处于Root状态，调整密钥生成逻辑：不再使用完全存在本地的静态密钥，每次解密文件前，结合应用服务端下发的动态校验值、设备硬件标识拼接出临时解密密钥，就算攻击者把沙箱内的加密文件全部拷走，没有应用端从服务端拉取的动态参数，也无法拼出正确密钥解密文件。
• 增加运行环境检测，定期排查当前设备有没有运行Frida、Xposed、Magisk模块等常用的Hook/逆向工具，一旦检测到异常运行环境，直接中断文件解密流程，避免攻击者通过Hook手段直接从应用内存中截取解密后的明文内容。
• 采用分段流式解密的渲染方式，不要一次性把整个解密后的文件内容全部加载到内存里，每解密一小段内容就传给渲染组件展示，渲染完成立刻释放对应内存段的解密数据，降低攻击者从内存中窃取完整文件内容的概率。

实际落地需要明确一个边界：不存在100%绝对防拷贝的方案，只要你的应用能正常打开文件，理论上完全控制设备的用户总有手段提取内容。所有防护方案的目标，是把普通用户未授权导出、用其他应用打开文件的成本提到足够高，让绝大多数普通用户根本没有操作空间，而不是做到绝对的防破解。

内容的提问来源于stack exchange，提问作者Abhishek Agarwal