如果别人通过反编译 android java code，获得了 REST 的 accessKey 和 secretKey，那怎么处理？

[arachide]

请教

[abelyao]

所以大多数服务商例如 SAE / UPYUN / 微信，都可以更换 SecretKey 嘛

[benjiam]

问题一破解 你换key 原有的客户端怎么办 完全失效

[NCE]

这个时候就显出OAUTH验证的优势了。。。

[oott123]

@NCE oAuth 不是也有 ak 和 sk 嘛，被拿去做坏事也不好啊~

再说 OAuth 是给用户鉴权用的，像 APP 的推送这类 SDK 也没办法用不是…

[sampeng]

我的做法是放到ndk编译的so里面，然后这些key不是写死的，是用算法算出来的。

[arachide]

@sampeng 如果客户端是网页用leancloud怎么办呢

[icylogic]

http://kb.qiniu.com/53cy0s73 不要放key，服务端实时发 token

[julyclyde]

@NCE 这事oauth完全显示不了任何优势

[arachide]

@icylogic 请问这个如何将Access Key 和 Secret Key放在服务器端

[hjiang]

LeanCloud 提供了 ACL 机制来保证数据安全性，不需要假设 AppKey 和 AppID 是保密的。