请教大家有没有 app 反破解的思路

[wangyuhang]

代码或者思路，密钥层面的，不用 c 的代码

[InkStone]

你这个“密钥层面”指的是什么？要隐藏你 APP 中的密钥么。用白盒加密就好了。

最简单的方法当然是直接买加壳服务，不过免费的那种基本没有，得指令抽取级别的壳才有点防护能力。

不想花钱，自己弄的话，就是字符串混淆+控制流混淆+动态代码加载。不过用处也不大，Java 层做不到什么很强有力的防护。

[ai277014717]

功能全都做到服务端上。

[atfeel]

一样被这个问题困扰，加壳服务有哪个能推荐下的，个人 APP，不是公司。价格太高用不起

[ColoThor]

全部东西都从服务器端取，权限也是服务端判断。另外混淆是最基本的，自己不写 c 代码，只能用第三方服务，java 转 c 的最好，不过价格高，性能也会降低

[zoharSoul]

关键功能依赖服务端.

[blackfire]

密钥层面？所以是啥？

[Cmdhelp]

只能提高破解者的逆向成本，没有绝对的反破解

[jacklin96]

用 flutter 写+自带混淆就完事了 能过滤掉一大批用脚本的

[wujieyuan]

所有功能和数据都做到服务端, 用 RSA 非对称加密, 这样就无法篡改服务端的数据也就无法破解. 服务端的数据加上时间戳, 防止被缓存.
如果仅仅靠客户端去做防破解, 可以告诉你, 没有任何可能, 哪怕什么加壳混淆都只是增加破解难度, 只要想破解早晚能破

[ccpp132]

加壳只是坑正版用户，单机应用防不了破解的。让正版用户体验好点吧

[LokiSharp]

把部分逻辑放到赴约，通过验证后下发

[uTOmOuk3L6sb4MSI]

https://i.loli.net/2020/05/20/FutIJHpBQc6UTGD.jpg

一、数据加密
二、用 SSL Pinning
三、api 权限服务器校验

我使用 quanX，发现大多 App 响应体没加密，可以直接修改，达到 vip 身份；而且 vip 功能基本上能正常使用，所以建议以上三点一定要做足够。

web 要用到的接口用 1 、3，App 应该用 2 就够了，App 方面不了解，我不是 App 开发，以上是个人破解过程发现的现象。

[uTOmOuk3L6sb4MSI]

补充，以上只是修改 api 响应体达到破解 vip 功能，并不需要自己去改 App 。
改 App 那有用正版劫持方便。

[uTOmOuk3L6sb4MSI]

SSL Pinning 还能防羊毛党，防自动签到等效果。
api 用户身份服务器校验，是否能使 App 反破解也没办法正常使用？

[ccloudk]

老王？

[tetora]

小软件价格定低一点 8 块以下，基本没人去破解了

[HongJay]

@tetora #16 别人只是顺手破解。就算去掉点广告或者图片也开心

[fyooo]

如果是 Android 的话，ProGuard 有什么不足么?

[tankren]

卖便宜一点

[dullwit]

客户端没有绝对的防破解，只是难度高低而已。包括 so 库不混淆，防动态 load 等手段，跟明文没啥区别，所以别单纯以为写 c 就能防止破解了。