javascript - 反编译的 APK 上的 JS 中的 API 密钥

Question

在玩 APK 时，我发现了一些有趣的 JS 代码

{
  BaseUrlCMS: "https://tsh-api-prod.ireckonu.com",
  BaseUrlSecurity: "https://tsh-mwid-prod.ireckonu.com",
  BaseUrlMW: "https://tsh-mw-prod.ireckonu.com",
  BaseImagesUrl: "https://tsh-mw-prod.ireckonu.com/app/image/download",
  ThreeCPaymentsBaseUrl: "https://web2pay.3cint.com",
  LoginConfig: {
    realm: "Username-Password-Authentication",
    scope: "openid offline_access",
    audience: null,
    clientSecret: "IwF_TxGIIhlwcEQ*********************",
    AppsflyerKey: "59cd8ff44ee8e1237******************",
    SmartlookKey: "01d8600276bdea085c039811*************",
    iTunesAppId: "1261856064",
  },
}

任何想法这是什么用途，如果发生此类披露，可能面临哪些安全问题？

标签： javascriptandroidapiapkreverse-engineering