在Android中存储Secret或API密钥 | 作者：Priti Jain - Medium

在 Android 中存储 Secret 或 API 密钥的最佳实践

在开发 Android 应用程序时，通常需要处理一些机密信息，例如 API 密钥、基本身份验证凭据或承载令牌。这些信息通常需要以常量的形式存储在前端代码中。然而，这种做法可能会显著降低项目的安全性。

如果将这些敏感数据直接存储在代码中，并将项目发布或共享到存储库中，可能会导致第三方获取这些信息，从而调用您的 API 并获取系统中的关键数据。因此，如何安全地存储这些机密信息成为开发者需要解决的重要问题。

常见的安全存储方法

以下是一些常见的存储机密信息的方法：

1. 客户端加密

   使用加密技术对密钥进行加密存储。

2. 将凭据保存在服务器中

   将敏感信息存储在服务器端，客户端通过安全的 API 调用获取。

3. 使用 Proguard 混淆代码

   通过代码混淆工具隐藏敏感信息。

4. 使用 Firebase 远程配置

   动态从 Firebase 获取配置信息。

尽管这些方法在一定程度上可以提高安全性，但它们并不能完全避免敏感信息被泄露的风险。因此，开发者需要结合多种方法，尽可能降低风险。

使用 apikey.properties 文件存储密钥

一种更安全的方式是使用 apikey.properties 文件存储密钥，并通过 Gradle 构建脚本将其集成到项目中。以下是具体实现步骤：

1. 创建 apikey.properties 文件

在项目的根目录下创建一个名为 apikey.properties 的文件，并将密钥以键值对的形式存储在文件中。例如：

CONSUMER_KEY="XXXXXXXXXXX"  // 常见的命名方式：API_KEY
CONSUMER_SECRET="XXXXXXX"

2. 在 Gradle 脚本中加载密钥

在项目的 build.gradle 文件中，添加以下代码以加载 apikey.properties 文件中的密钥：

def apikeyPropertiesFile = rootProject.file("apikey.properties")
def apikeyProperties = new Properties()
apikeyProperties.load(new FileInputStream(apikeyPropertiesFile))

android {
    defaultConfig {
        // 将密钥添加到 BuildConfig 中
        buildConfigField("String", "CONSUMER_KEY", apikeyProperties['CONSUMER_KEY'])
        buildConfigField("String", "CONSUMER_SECRET", apikeyProperties['CONSUMER_SECRET'])
    }
}

3. 在代码中访问密钥

通过 BuildConfig 类可以在应用程序中访问这些密钥：

private val consumerKey = BuildConfig.CONSUMER_KEY
private val consumerSecret = BuildConfig.CONSUMER_SECRET

这种方法可以有效避免将实际密钥值直接存储在代码中，从而降低密钥泄露的风险。

使用 gradle.properties 文件存储密钥

另一种方法是使用 gradle.properties 文件存储密钥。以下是具体实现步骤：

1. 在 gradle.properties 文件中添加密钥

在项目的 gradle.properties 文件中添加密钥，例如：

API_KEY = "Enter your API KEY here"

2. 在 Gradle 脚本中加载密钥

在 build.gradle 文件中，将密钥添加到 BuildConfig 中：

android {
    defaultConfig {
        buildConfigField("String", "API_KEY", API_KEY)
    }
}

3. 在代码中访问密钥

同样可以通过 BuildConfig 类访问密钥：

private val apiKey = BuildConfig.API_KEY

隐藏密钥库签名密钥

除了 API 密钥，开发者还需要注意隐藏密钥库签名密钥。可以通过类似的方法将签名密钥存储在安全的文件中，并在构建脚本中动态加载。

更多关于隐藏密钥库签名密钥的内容，可以参考相关文档或教程。

总结

在 Android 开发中，安全存储机密信息是一个重要的课题。通过使用 apikey.properties 或 gradle.properties 文件存储密钥，并结合 Gradle 构建脚本动态加载，可以有效降低敏感信息泄露的风险。同时，开发者还可以结合客户端加密、代码混淆等方法，进一步提升应用的安全性。

为了确保项目的安全性，建议开发者在实际项目中根据需求选择合适的存储方案，并定期审查和更新安全策略。

原文链接: https://medium.com/@pritik.jain/storing-secret-or-api-keys-in-android-284e48ffc82b