移动应用安全

Question

我们在iOS和Android平台上都有一个应用程序。我们是来自市政府的编码员，我们的应用程序包含我们城市的交通信息，我们的服务，新闻等。而不是我们的官方应用程序，另一个程序员破解了我们的应用程序，我们的服务受到损害。他们使用我们的服务并发布了另一个应用我反编译了他们的一个apk，看到了我们的网络服务地址，用户名和密码。

我们如何在iOS和Android平台上保护我们的应用程序？它就像阻止他们的应用程序访问我们的服务或者可能阻止他们破解官方应用程序。 如果我们使用了承载身份验证，我们必须在我们的应用程序中添加用户名和密码。 在soap服务中，我们添加了用户名和密码加密，但现在他们破解了应用程序，他们使用相同的加密用户名密码并访问我们的服务。

我无法弄清楚如何保护我们的应用程序并防止非法访问我们的服务。

Answer 1

一种方法是在每个Web服务中添加请求标头中的auth-key。用户在登录或注册身份验证服务的回复时将获得auth-key。这样，您可以简单地从任何没有系统提供的身份验证密钥的请求中删除访问权限。

此外，您需要对代码进行模糊处理，在android中使用proguard和gradle非常简单。

这不是一个完全安全的解决方案，但它会给那些人一些时间，直到他们可以再次使用您的服务。