混合移动应用安全

Question

在我的情况下，我有一个 Hybrid Mobile App 与Cordova。

如果有人下载我的* .apk或* .ipa并尝试在浏览器中使用它，我怎样才能避免更改 javascript / AngularJs ？

我想加密我的源代码javascript代码，或者如果可能，想要在* .apk中填写完整内容。

Answer 1

避免其他人在您的代码中进行更改的方法是缩小和混淆javascript文件。

Here你可以自己测试一下。

但是如果你想缩小项目的所有javascipt文件，我建议你使用grunt和Uglify这样的任务运行器。

为避免不必要的请求，您必须在服务器中配置跨源资源共享（CORS）。

Answer 2

虽然大多数人会同意Javascript加密不是万无一失的方法，但在某些情况下，增加所需的工作量和减慢攻击者的速度通常会有所帮助。您可以检查refresh-sf，Uglify和obfuscator.io等工具是否进行代码混淆。但是，基本的加密和混淆做法并不能阻止人们提升和使用您的代码，并且考虑到近来发生的高级网络攻击，黑客已经可以解决这种做法。

我的建议是投资于Arxan，AppSealing或Appdome之类的移动应用程序安全工具，以在您的应用程序上应用可靠的安全体系结构。亲自使用AppSealing后，我可以说它们具有定期更新，并且绝对可以让您免受最新攻击。他们的框架直接集成在您的APK中，因此无需其他编码。我建议您寻找这样的移动应用程序安全解决方案，以获得更强大的安全体系结构。我相信除了上面提到的解决方案之外，还必须有更多解决方案。只需研究并选择适合您需求和预算的方案即可。

Answer 3

1. 首先将所有js文件缩小为一个bundle.js并使用cordova-anti-tampering插件。如果有人试图篡改你的apk并重建apk应用程序将崩溃。
2. 此插件将为所有文件创建哈希值。如果您想要更多地保护您的应用程序您可以将这些哈希值存储到服务器一次，并使用服务器存储的哈希值检查您的文件哈希值。