android - 如何保护 API Key 和 AppID 被中间拦截？

Question

我正在创建一个移动应用程序，这个应用程序使用了一些第三方。这些第三方使用 API 密钥和 AppID 进行连接。

是否可以使用Charles proxy或Proxyman等工具拦截实时 android App 的 HTTPS 请求 ？

我们可以轻松拦截调试构建，如果无法拦截生产应用程序，那为什么？

谢谢。

标签： androidsslhttpscharles-proxy

Answer 1

无法拦截生产版本，因为没有官方方法可以将 Trust Config 添加到捆绑的应用程序中。

但是，如果您有一个 Root Android 设备，您可以通过在 Trust Store 中强制设备信任 Proxyman 来做到这一点/system/etc/security/cacerts/

快速教程：https ://docs.proxyman.io/debug-devices/android-device#ssl-proxying-using-root-device