你们的 Android APP 是如何防止别人通过抓包和反编译来获取 REST API 调用机制的啊

[weiceshi]

这么多年写过很多 APP ，也研究过很多别的 APP
安卓 APP 通过抓包和反编译很容易获取 REST API 调用机制，有什么方法可以尽量避免吗（包括服务端）？

1,通常都是把 method 和请求参数 hash 或者 rsa 后发送到服务器比较，比如 ：
method+p1+v1+p2+v2+p3+v3
Hash 或者 RSA 后发送到服务器进行验证

2,Hash 的话，可以稍微增加一点难度，本地自定义一个乱序字典，来进行请求参数排序，比如 ： 字典是[3,1,2],那么 method+p3+v3+p1+v1+p2+v2

3 ，但通常还是 RSA ，这里就涉及到公钥保存的问题
最简单的储存字符串或者文件，只要反编译后很容易就找到了；
见过比较复杂一点的（某国外著名社交软件），存在一张图片里，程序读几个固定点的 rgb 值来拼成 key ；
也有复杂一点的，把 key 或者 rsa 加密过程写在 so 里面（这个就多了，比如 163 系），但是这样一样可以通过 load so 文件来进行调用

基本上遇到过的都是在这个范畴内，难度有高低，但是都能破解。大家还有更好的想法吗？

[weiceshi]

没有人讨论吗？@@@@@@@@

[tomczhen]

因为都是老问题了，有这功夫还不如去多了解下 TCP/IP 协议安全相关的部分。

没有完美的防御方法，任何安全措施都是要付出代价的——就看是在哪一方面了。

1.篡改请求
这个好解决，用非对称加密 hash 签名就行了。

2.重放攻击
request id 或者 TOTP

3.中间人攻击
可以按 ssl 那套逻辑自己实现对数据内容加密一次，这样就算 https 被搞了，也不会泄露用户信息。不过，如果接口会被 web 页面 ajax 复用我就不知道怎么弄了。

4.伪造请求
说实话，客户端可以反编译的话，伪造请求只是难度问题罢了，不能避免

总的来说，只要后台逻辑没什么业务漏洞，攻击产生的利益小于攻击成本，基本上没人会搞的，懒得弄的话，上个 WAF 也能解决不少问题。

[qwer1234asdf]

防重放:
url 后拼接时间戳后再 hash
防破解:
请求对称加密，用 rsa 交换对称加密密钥
........

[damean]

既然是公钥为啥会担心被别人抓取？

抓去了有什么危害？

[zke1e]

很简单，加个壳就可以防止 99.9%的人破解了，当然是商业版的加壳，免费版大概能防 60%吧。

[AlisaDestiny]

如果你有技术的话可以把网络请求封装到 jni 里。调用的时候传入参数就可以了。总不能把 C 语言写的东西也给反编译了吧。