如何隐藏Android应用中硬编码的敏感信息防止被提取？

嗨，针对你开发的这款带联系表单的Android应用——需要用谷歌账户SMTP发送邮件到个人邮箱，隐藏硬编码敏感信息的问题，我给你整理了几个实用且安全的方案，按推荐优先级排序：

1. 优先推荐：用后端服务器代理转发邮件 #

这是最安全的方案，完全避免客户端接触任何SMTP敏感信息。原理很简单：

• 你搭建一个简单的后端API（比如用Node.js、Python Flask/Django，甚至Firebase云函数都可以）
• 用户在应用里填写完联系表单后，把消息内容（姓名、邮箱、留言）通过HTTP请求发送到你的后端API
• 后端API收到请求后，用你存在服务器环境变量里的谷歌SMTP凭证，发送邮件到你的个人邮箱

这样客户端只需要存储API的地址，即使APK被逆向，也拿不到任何敏感的账户信息。而且你可以在后端做额外的验证（比如防垃圾邮件、请求频率限制），安全性拉满。

示例伪代码（客户端发送请求）：

// 用Retrofit发送表单数据到后端API
val contactApi = Retrofit.Builder()
    .baseUrl("https://your-backend-domain.com/")
    .addConverterFactory(GsonConverterFactory.create())
    .build()
    .create(ContactApi::class.java)

contactApi.sendContactMessage(ContactFormData(userEmail, userName, message))
    .enqueue(object : Callback<Void> {
        // 处理请求结果
    })

2. 使用Android Keystore加密存储敏感信息 #

如果必须在客户端处理SMTP（比如不想搭建后端），那一定要用Android系统提供的Keystore来加密你的谷歌账户凭证，绝对不能硬编码或者明文存储。

Keystore的优势是：密钥由系统管理，不会暴露给你的应用进程，即使应用被root，也很难提取密钥。

步骤大概是：

1. 在应用启动时，生成一个AES密钥并存在Keystore中
2. 把你的谷歌SMTP邮箱、应用专用密码（后面会讲）用这个AES密钥加密
3. 把加密后的字符串存在SharedPreferences或者本地文件里
4. 需要使用SMTP的时候，从存储中读取加密字符串，用Keystore里的密钥解密，再传入SMTP客户端

示例代码片段（加密部分）：

// 生成Keystore中的AES密钥
val keyGenerator = KeyGenerator.getInstance(KeyProperties.KEY_ALGORITHM_AES, "AndroidKeyStore")
val keyGenParameterSpec = KeyGenParameterSpec.Builder(
    "MyContactFormKey",
    KeyProperties.PURPOSE_ENCRYPT or KeyProperties.PURPOSE_DECRYPT
)
    .setBlockModes(KeyProperties.BLOCK_MODE_GCM)
    .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_NONE)
    .setUserAuthenticationRequired(false) // 根据需求设置是否需要用户验证
    .build()
keyGenerator.init(keyGenParameterSpec)
val secretKey = keyGenerator.generateKey()

// 加密敏感信息
val cipher = Cipher.getInstance("AES/GCM/NoPadding")
cipher.init(Cipher.ENCRYPT_MODE, secretKey)
val encryptedData = cipher.doFinal("your-google-app-password".toByteArray())
// 把encryptedData和IV（cipher.iv）一起存到SharedPreferences

3. 谷歌账户的应用专用密码（仅作为辅助） #

注意：谷歌现在已经禁用了普通账户密码的SMTP登录（除非你开启了不安全应用访问，但非常不推荐），所以你需要：

1. 给你的谷歌账户开启两步验证
2. 生成一个应用专用密码（这个密码仅用于你的Android应用发送邮件）

但即使是应用专用密码，也绝对不能硬编码在代码里，必须配合上面的Keystore加密存储，否则还是会被逆向提取。

绝对要避免的做法 #

• 不要把敏感信息硬编码在Java/Kotlin代码里，也不要放在strings.xml、build.gradle的buildConfigField中——这些都会被打包到APK的dex文件或者资源文件里，很容易被反编译提取
• 不要依赖ProGuard/R8混淆来保护敏感信息——混淆只是增加逆向难度，不能完全阻止提取，只能作为辅助手段

内容的提问来源于stack exchange，提问作者EpicDragon 68