我正在使用 Xamarin 的 Mono for Android 开发一个 Android 应用程序。我目前正在使用 Google Play API 添加应用内购买功能。为此，我需要从我的应用程序中向 Google 发送公共许可证密钥。关于这个问题，谷歌建议如下：
安全建议：强烈建议您不要 硬编码提供的确切公共许可证密钥字符串值 谷歌播放。相反，您可以构建整个公共许可证密钥 在运行时从子字符串中提取字符串，或从加密的 存储，然后将其传递给构造函数。这种方法使它 恶意第三方更难修改公众 APK 文件中的许可证密钥字符串。
我从未处理过加密、黑客/破解或任何其他软件安全方面的问题，因此我不确定如何实施 Google 的建议。我的问题是，如何充分保护使用 Mono for Android 制作的 Android APK 中的字符串，而无需成为安全专家？
【问题讨论】：
标签： c# android security xamarin.android xamarin
听起来不太大胆，但我相信您可以放心地忽略他们的建议。他们建议的安全优势充其量是微不足道的。
如需更详细的讨论，请阅读：How to protect Google Play public key when doing InApp Billing
事实是，那里描述的方法都不是绝对安全的。如果有人决心找出你的公钥，他们会的。无论您做什么，公钥最终都会传递给 ctor，因此恶意用户始终可以在此时对其进行检查。他们建议的所有“游戏”只是让这变得更加困难，但绝对不是不可能的。
我认为你最好的选择是接受它的真实面目。这个密钥是公开的是有原因的，你需要接受它很容易被破坏的事实。既然其他人都知道这一点，晚上睡得很好，我认为你没有理由不这样做:)
如果您真的晚上睡不着想做某事.. 将您的密钥放入您的代码中，并切换前两个字符。然后在运行时，在使用该键之前将这两个字符切换回来。这应该足以保护自己免受暴力自动攻击。智能攻击你无能为力。
编辑：
如果您正在寻找一种行业标准的方法来保护您的代码，请使用商业混淆器。这些工具就是为此目的而设计的。一些例子是Mono for Android, code obfuscation。确保使用包含字符串加密的功能齐全的商业版本。
【讨论】：