Апи-токен для отдыха вызывает, где его хранить? [Дубликат]

Вы можете сохранить их в AccountManager .

Вот официальное определение:

Этот класс предоставляет доступ к централизованный реестр учетных записей пользователей. Пользователь вводит учетные данные (имя пользователя и пароль) один раз на одну учетную запись, предоставляя приложениям доступ к онлайн-ресурсам с одобрением «одним щелчком».

Подробное руководство по использованию AccountManager:

• Учебник Udi Cohen
• Блог пиланитов
• Презентация Google IO

Однако в конце AccountManager сохраняет ваш токен только как обычный текст. Поэтому я бы предложил зашифровать ваш секрет, прежде чем хранить их в AccountManager. Вы можете использовать различную библиотеку шифрования, такую ​​как AESCrypt или AESCrypto

. Другой вариант - использовать библиотеку Conceal . Это безопасно для Facebook и гораздо проще в использовании, чем AccountManager. Вот фрагмент кода для сохранения секретного файла с помощью Conceal.

byte[] cipherText = crypto.encrypt(plainText);
byte[] plainText = crypto.decrypt(cipherText);

SharedPreferences не является безопасным местоположением. На корневом устройстве мы легко можем читать и модифицировать все приложения «SharedPrefereces xml». Даже если токен истекает каждый час, более новые жетоны все равно могут быть украдены из SharedPreferences. Android KeyStore следует использовать для долговременного хранения и извлечения криптографических ключей, которые будут использоваться для шифрования наших токенов, чтобы хранить их, например. SharedPreferences. Клавиши не сохраняются в процессе приложения, поэтому они сложнее , чтобы быть скомпрометированы.

Ну, вы можете защитить токен доступа, выполнив следующие два параметра.

1. Используйте сохранение токена доступа в хранилище ключей android, которое не было бы обратным.
2. Используйте функцию NDK с некоторые вычисления, которые сохраняют ваш токен и NDK с кодом C ++, который очень трудно отменить

1. На панели проекта Android Studio выберите «Файлы проекта» и создайте новый файл с именем «keystore.properties» в корневом каталоге вашего проекта.

2. Откройте файл «keystore.properties» и сохраните свой токен доступа и секретность в файле.

3. Теперь загрузите прочитанный токен доступа и секретный файл build.gradle вашего модуля приложения. Затем вам нужно определить переменную BuildConfig для вашего токена доступа и секретности, чтобы вы могли напрямую обращаться к ним из своего кода. Ваш build.gradle может выглядеть следующим образом:

   ... ... ... 
   
   android {
       compileSdkVersion 26
   
       // Load values from keystore.properties file
       def keystorePropertiesFile = rootProject.file("keystore.properties")
       def keystoreProperties = new Properties()
       keystoreProperties.load(new FileInputStream(keystorePropertiesFile))
   
       defaultConfig {
           applicationId "com.yourdomain.appname"
           minSdkVersion 16
           targetSdkVersion 26
           versionCode 1
           versionName "1.0"
           testInstrumentationRunner "android.support.test.runner.AndroidJUnitRunner"
   
           // Create BuildConfig variables
           buildConfigField "String", "ACCESS_TOKEN", keystoreProperties["ACCESS_TOKEN"]
           buildConfigField "String", "SECRET", keystoreProperties["SECRET"]
       }
   }
   

4. Вы можете использовать свой токен доступа и секретный код в своем коде следующим образом:

   String accessToken = BuildConfig.ACCESS_TOKEN;
   String secret = BuildConfig.SECRET;
   

Таким образом, вы не нужно хранить токен доступа и секретный текст в тексте внутри вашего проекта. Поэтому, даже если кто-то декомпилирует ваш APK, они никогда не получат ваш токен доступа и секретность, поскольку вы загружаете их из внешнего файла.