8 个关于提高你 Flutter 移动程序安全性的建议

发表于 2年以前 | 总阅读数：4877 次

前言

这里有一些步骤，我们可以采取以确保我们的 Flutter 应用程序。

Google 在 2020 年透露，自 2018 年发布以来，已经有超过 200 万开发者使用 flutter，使其成为当今市场上最受欢迎的框架之一。最初，flutter 只能作为 Android 和 iOS 的移动应用开发框架使用，但是现在我们已经发布了 flutter 桌面和 flutter web，这个框架在 flutter 开发者中变得更加流行。

我们主要关心的是编写代码和添加新特性，因此我们并不总是专注于确保应用程序中的所有内容都是安全和健壮的。这是因为我们专注于编写代码和创建新特性，而不是确保一切都是安全和健壮的。

现在，这可能会导致一个问题，当你把你的应用程序部署后，一切都已经完成和测试，你正在把它投入生产，这可能使应用程序易受攻击，这可能导致用户数据泄露，它可能导致你的应用程序业务逻辑暴露，甚至可能导致你的数据，或你的 API 键和你的资源被滥用，这反过来可能是非常昂贵的，特别是你正在接触和使用类似 Firebase 或 AWS。

正文

在本文中，我们可以采取一些步骤来保护我们的 Flutter 应用程序，让我们看看八个这样的步骤，您可以采取这些步骤来确保您的下一个 Flutter 应用程序是完全安全和健壮的。

1. Obfuscate code 混淆代码

https://link.juejin.cn/?target=https%3A%2F%2Fdocs.flutter.dev%2Fdeployment%2Fobfuscate

因此，为了让 Flutter 应用程序更加安全，我们首先要考虑的是升级代码。什么是代码混淆？

模糊处理的基本定义就是让代码更难以被逆向工程阅读所以你要做的就是你可以在 android 中找到任何 apk 文件你可以把它分解成文件这样你就可以在你知道解压文件之后再看代码因为它是开源的 apk 文件可以是你知道的所有文件都被分解成你可以看到 java 文件代码写在里面所以模糊处理的方法就是不删除代码它不会对代码做任何事情它只是改变变量的名字和类的名字以及地点之类的所以人类阅读起来会更加困难。

这是软件行业中的一个非常通用的术语。这样做的目的是让你的应用程序的二进制文件对人类来说更难理解。

您可以对 Flutter 应用程序或 Android 应用程序进行反向工程，以便它在应用程序中生成并提供函数名、类名和字符串等信息。因为它暴露了许多不同的细节，所以也暴露了您的 API 键。

如果逆向工程管理不当，或者类和函数名暴露了业务逻辑，那么它就提供了一种防范措施。

2. background snapshots 后台快照

为了继续执行第二步，操作系统会在应用程序在后台时获取一个快照，因此在应用程序在后台时保存较大的状态。

所以当你的应用程序被最小化时你知道滚动进入其他应用程序你所站的最后一个屏幕的快照和最小化版本一起出现所以你可以看到如何保护它们像这样你可以看到屏幕爆炸如何保护它们假设你有一些卡的细节在这里然后你最小化你的应用程序然后有人在你最小化的应用程序中滚动然后你可以看到卡的细节和类似的东西所以你如何保护它所以有两个简单的三行代码你可以放入本地安卓和本地 iOS 来阻止这个。

例如，时钟应用程序和日历应用程序都有快照，因此相应地，我们为它们都提供了快照，所以这是一个很好的特性，但是如果您有任何私有信息，那么这就不是一个理想的特性。

最好的例子就是谷歌支付，所以如果你打开这个应用，开始输入你的银行账户信息或者转账给某人，然后你在后台打开这个应用，然后你看到屏幕变成了白色，这是隐藏这个应用的标签的内容。

通过这种方式，如果我们的应用程序中有一些不想在后台显示的敏感信息，我们可以继续并实现一个特定的插件。

3. Stay up-to-date 更新程序

因此，无论何时启动一个新的 Flutter 应用程序，记住第三点非常重要。更新的版本应该是您的起点。

让你的 Flutter SDK、插件和软件包保持最新是保护你的应用程序最简单和最好的方法之一。当 Flutter 框架发现安全漏洞时，Google 会发布补丁和安全修复程序。

找出任何尚未归档到 Google Flutter 存储库中的未解决问题，并报告它们。

4. Flushing in-memory cache 刷新内存缓存

如果您正在构建一些非常关键和非常安全的应用程序，比如银行应用程序，那么您应该尽可能频繁地刷新内存缓存。在任何移动开发技术中，flutter 都是存储来自后端或数据库的内容的最安全的方式，这就是为什么它在内存中是最安全的方式。

这是因为它是在运行时生成的，并存储在一个运行时变量中，当应用程序被关闭时该变量将被清除，因此它不会存储在任何地方。它被提取到一个运行时并存储在一个运行时变量中。

数据或令牌或类似的东西应该存储在内存中，在您的应用程序中使用的变量。

或者，如果您想添加一个额外的安全层，您可以使用这个小代码，您可以看到现在在这里刷新您的内存后一段时间。例如，如果我正在使用一个银行应用程序，我的应用程序到后台，我正在使用另一个应用程序。

因为该应用程序在后台运行了 15 分钟或 20 分钟，它可能会受到其他应用程序或脚本读取您的内存变量。

静止两三分钟后，你就可以清空内存缓存了，这段代码会告诉你应用何时暂停，你只需要检查 15 分钟，然后清空它。

5. local authentication 本地认证

与此相关的下一件事通常是本地身份验证。当快照实现到位时，通常希望在再次打开快照时让用户再次进行本地身份验证。

本地认证，我指的是生物指标，面部识别，或类似的东西，所以如果你看看 what-app，你可以添加一个指纹锁，这样我们就可以为我们的应用做类似的事情。

每当应用程序从后台返回或第一次打开时，我们都会在本地对用户进行身份验证，以确保它们是有效的，因此对于拥有支付信息或知道敏感信息(如社交媒体信息)的用户来说，这也非常有用。

您无法获取那些受操作系统限制的签名，因为这是身份盗窃，而且操作系统也不允许您这样做。当你检查指纹时，操作系统只告诉你指纹是真还是假。这是你唯一的收获。

6. Secure Storage 安全储存

https://link.juejin.cn/?target=https%3A%2F%2Fpub.dev%2Fpackages%2Fflutter_secure_storage

接下来是安全存储，因此如果您使用的是共享首选项或 sqlite 数据库，那么您需要的插件名为 sqflite。

因此，共享首选项成为应用程序的一部分，即使在删除数据之后，它也能保持数据的持久性。你不应该在你的共享首选项中存储普通密码或别针，因为它们可以被其他应用程序通过代码读取，也可以被用户自己清除，所以你不应该在你的共享首选项中存储直平面密码或别针。

即使您希望存储对您和您的共享首选项至关重要的内容，也应该在存储它之前使用加密和加密。

即使你知道你被利用了，你的共享偏好也不会受到影响，所以你可以保留一些东西，比如主题数据或者从后端获取用户数据的令牌，或者告诉你应用是否是第一次安装的令牌，或者类似的东西。这是你想要保留的东西，以确保应用程序的持久性。

我们需要确保我们的数据是安全和加密的，所以我们可以使用 flutter 安全存储，这是一个插件，使用安卓系统的密钥链和 AES 加密。因此，我们要确保本地存储的数据也是加密和安全的，这是增加 android 应用程序安全性的另一种方法。你可以选择这个插件

7. Restrict network traffic 限制网络流量

因此，第七点是限制网络流量，网络流量控制提供互联网连接障碍，无论是自己的服务器或第三方供应商。为了在移动应用程序和服务器之间提供安全连接，信息通常通过传输安全层(T.L.S)交换。

最受信任的网络

为了将网络流量或连接限制到不安全的端点，可以显式地将域列入白名单。

安卓系统:

res/xml/network_security_config.xml


<?xml version="1.0" encoding="utf-8"?>
   <network-security-config>

    <domain-config>
     <domain includeSubdomains="true">yourDomain.com</domain>
    <trust-anchors>
     <certificates src="@raw/my_ca"/>
    </trust-anchors>
  </domain-config>

 </network-security-config>

IOS:

ios/Info.plist


<key>NSAppTransportSecurity</key>
  <dict>
  <key>NSAllowsArbitraryLoads</key>
  <false/>
 <key>NSExceptionDomains</key>
  <dict>
 <key>cocoacasts.com</key>
  <dict>
 <key>NSIncludesSubdomains</key>
  <true/>
 <key>NSExceptionAllowsInsecureHTTPLoads</key>
  <true/>
  </dict>
 </dict>
 </dict>