2.3 App常用安全开发规范
2.3.1 加壳
加壳也就是加固，或者叫作加密，App打包成APK后，通过加壳技术给App上一层保护，用来预防App被破解、反编译、二次打包等。
免费的加固应用有乐固、阿里聚安全、360加固保等；收费的有梆梆安全、爱加密，以及一些免费加固应用的收费版本。
以下是相关机构发布的安全报告：
“65%的移动App至少存在1个高危漏洞，平均每1个App就有7.32个漏洞； 88%的金融类App存在内存敏感数据泄露问题；每10个娱乐类App就有9个至少包含一个高危漏洞。——《FreeBuf：2017年度移动App安全漏洞与数据泄露现状报告》”
因此加壳是App开发中的重要一环，没了壳等于将危险直接暴露在外。建议如果有条件的话还是选择收费版本的加壳软件，因为收费版本加密的强度会高些，而且还有合同保障。
2.3.2 组件外露
Android的四大组件Activity、Service、ContentProvider、BroadcastReceiver，有一个android:exported属性。如果是false，那么只能在同一个应用程序组件间或带有相同用户id的应用程序间才能启动或绑定该服务；如果是true，则该组件可以被任意应用启动或执行，这样就会有组件被恶意调用的风险。
1. <activity 2. android:name="com.androidwind.safe.DemoActivity" 3. android:exported="false" 4. android:label="@string/app_name" > 5. </activity>
如果组件没有包含过滤器intent-filter，那么android:exported属性的值默认是false；如果组件包含了至少一个intent-filter，那么android:exported属性的值默认是true。
如果必须暴露这些组件，那么需要添加自定义的permission权限来进行访问控制。
1. <activity 2. android:name="com.androidwind.safe.DemoActivity" 3. android:exported="true" 4. android:label="@string/app_name" 5. android:permission="com.androidwind.permission.demoPermission" > 6. </activity>
外部应用如果想直接打开DemoActivity，需要在AndroidManifest.xml中进行配置：
<uses-permission android:name="com.androidwind.permission.demoPermission" />
2.3.3 WebView
因为WebView在低系统版本中存在远程代码执行漏洞，如JavascriptInterface，中间人可以利用此漏洞执行任意代码，所以App的targetSdkVersion需要大于17，也就是Android版本至少要达到4.2。
另外需要将Webview自动保存密码的功能关闭：
webView.getSettings().setSavePassword(false);
2.3.4 Logcat日志
有的时候为了方便跟踪用户操作，App通常会把日志保存在SD卡上，在适当的时候将用户日志上传到服务器，然后开发人员可以查看用户日志信息，分析相关的问题。但是这样做有一个很大的风险就是日志里面往往包含了App的一些敏感信息，如URL地址、参数、类名，以及用户的使用记录，包括名称、id、聊天记录等。虽然App可以做一些操作来减少风险，如定期删除日志等，但是毕竟这些信息还是外露了，可能会被别有用心的人利用。
因此，对日志输出的要求如下。
·不存储在外部空间中，如手机存储空间。
·测试环境下可以使用logcat输出日志信息。
·正式环境下屏蔽所有的日志输出，包括logcat和手机外部存储。
·不使用System.out输出日志。
另外，项目中日志输出需要使用同一个日志管理类，不应该存在多个输出日志的类。
2.3.5 网络请求
所有网络请求必须使用HTTPS。而且在Android P系统中，默认使用加密连接，所有未加密的连接会受限：
“Google表示，为保证用户数据和设备的安全，针对下一代 Android 系统（Android P）的应用程序，将要求默认使用加密连接，这意味着 Android P 将禁止 App 使用所有未加密的连接，因此搭载Android P系统的安卓设备无论是接收或者发送流量，未来都不能明码传输，需要使用下一代传输层安全协议（Transport Layer Security），而 Android Nougat 和 Oreo 则不受影响。”
如果使用HTTP连接，那么会返回如下错误信息。
·HTTP在使用HttpUrlConnection时遇到的异常：java.io.IOException:Cleartext HTTP traffic to *** not permitted。
·HTTP在使用OkHttp时遇到的异常：java.net.UnknownServiceException: CLEARTEXT communication *** notpermitted by network security policy。
2.3.6 API接口
参考第2章2.1.1小节中的“API接口安全设计规范”。
2.3.7 so文件
通常简单的做法是将密钥等敏感信息保存在Java代码中，例如直接写在静态变量里。但是这样很容易被编译破解，即使代码有混淆。
我们可以考虑将一些敏感信息，如密码、密钥等，通过cpp代码保存在so文件中。这样会增加敏感信息被破解的难度。
需要说明的是，如果使用so文件，那么so文件也需要加壳。
github上有一个可以自动生成加密so库的插件cipher.so，这样通过在gradle里配置需要加密的数据，即可加密保存到so库，并且自动生成对应的Java接口。
1. cipher.so {
2. keys {
3. 数据库 {
4. value = '你好数据库!'
5. }
6. hello {
7. value = 'Hello From Cipher.so' 8. }
9. }
10. // signature = '1234567890'
11. encryptSeed = 'HelloSecretKey'
12. }