Android - 保護api端點驗證標題

Question

在我的Android應用程序中，我向後端API發出請求並添加驗證標頭值，以便只有我的應用可以訪問我的API數據。我使用OKHttp，它使得它很簡單.addHeader（「name」，「value」）

但是，現在我只是在我的Java文件中硬編碼這個頭名稱和值。似乎人們能夠反編譯Android應用程序，並且能夠看到我的auth頭部值。

有沒有一種方法可以防止這種情況發生？

Answer 1

這是一個非常討論的話題，它總是一個折衷。

一些策略

• 在Java中
• 硬編碼共享偏好，資產或資源文件夾
• 使用NDK
• 公共/私有API密鑰交換

文章的結論

您選擇的選項可能是由您對後端服務器的控制權限決定的。如果您沒有任何控制權，那麼您可能需要使用NDK隱藏API密鑰。如果你這樣做，我們建議使用隨機數的公鑰/私鑰加密API密鑰來防止任何重放攻擊。在下一篇文章中，我們將看看支持早期Android操作系統版本的安全隱患，以及一些Android手機比其他手機更安全。

訂閱我們的Android開發者時事 加入我們的Android開發者的通訊得到所有的頂級開發商的消息，提示&鏈接每週一次在收件箱中

Full article

Possible duplicated question/answer