通过 API 保护来自 Android 应用程序的 GET 请求

Question

我想通过 API 获取 JSON 数组。我们创建的 API 运行良好，但我们担心因为我们在 Android 应用程序上使用 API，反编译 APK 并访问我们的 API 可能更容易。由于它是一个 Android 应用程序，我们无法通过 IP 限制访问。

但是，我们希望保护对该 API PHP 文件的访问，请通过应用程序接受该文件。有什么方法可以验证应用程序在服务器端发出的拉取请求。

注意：我们使用的是 Amazon EC2 实例。我不会在这里发布对文件或我们服务器的直接访问。

Answer 1

您可以像这样使用 PackageManager 类 http://developer.android.com/reference/android/content/pm/PackageManager.html 访问 APK 的签名签名

Signature[] sigs = context.getPackageManager().getPackageInfo(context.getPackageName(), PackageManager.GET_SIGNATURES).signatures;
for (Signature sig : sigs) {
    Log.i("MyApp", "Signature hashcode : " + sig.hashCode());
}

我们可以使用它与我们的调试密钥或发布密钥的哈希码进行比较，以确定 APK 是调试 APK 还是发布 APK，或者使用任何其他签名进行签名。

因此，如果有人试图混淆您的 apk，应用程序的签名将会改变。

您必须对 API 进行更改并且需要发送签名 Restful API 中的应用程序，以便服务器可以确保 API 调用 是真的。

此外，您还需要在构建应用时在应用中启用 proguard，以使其难以混淆。

希望对您有所帮助。 干杯！！