Mixpanel 代币暴露的后果是什么？答案

【问题标题】：What are consequences of Mixpanel token being exposed?Mixpanel 代币暴露的后果是什么？
【发布时间】：2017-06-03 10:37:35
【问题描述】：

正如我在Android Mixpanel SDK setup documentation 中所读到的，在应用启动时使用了一个令牌来初始化 MixPanel SDK。当我在 Mixpanel 文档中读到 token 时，它说：

您的令牌是公开的，并且是将数据发送到 Mixpanel 所需的唯一项目特定对象。由于 Mixpanel 用户可以拥有多个项目，并且每个项目都有自己的项目令牌，因此无论何时您要将数据发送到特定项目，您都需要指定项目令牌，以便我们知道将数据发送到哪里。

可以使用免费提供的工具轻松反编译 Android apk。如果有人没有使用 ProGuard 或其他一些混淆库，如果令牌暴露给攻击者会有什么后果？由于链接提到它唯一需要向 Mixpanel 发送数据，攻击者可以发送他们自己的数据并破坏我们在 Mixpanel 上的数据吗？

【问题讨论】：

【解决方案1】：

这是正确的——如果攻击者反编译您的 apk 并提取您的令牌，他们确实可以代表您恶意将流量发送到 mixpanel。

几乎所有的网络分析公司（包括谷歌）都是这种情况。

然而，要知道的主要事情是，人们这样做很少有用。污染他人的网络分析虽然可能，但并不是一件有利可图的事情。您还可以创建服务器端过滤器来帮助防止这种情况发生。

您可以在此处阅读有关它的更多信息（特别是与 Google Analytics 相关的）：https://blog.kissmetrics.com/protect-analytics-from-hacking/（这些原则也适用于 Mixpanel）。

希望有帮助！

【讨论】：

感谢您的回答。它有助于。如链接中所述，在 Google 分析门户上，我们可以按源 URL 进行过滤。只是想也许 Mixpanel 也一样。他们可以将令牌与包名或其他东西联系起来。如果他们从中接收请求的包名称不匹配，则他们不包含该事件。由于只有拥有我的私钥的人才能签署该应用程序，这将有助于区分真假应用程序。
我已经有一段时间没有使用mixpanel了，但是我上次使用它时这是不可能的。这可能已经改变，但老实说，我不是 100% 确定，也不想给你误导性信息。
但你是对的——过滤器是解决这个问题的方法 =)