PhoneGap源安全

Question

在平台安全的最后一节中，它提到了一种保护PhoneGap应用程序中源代码的方法。

反向工程是许多使用PhoneGap的人所关心的问题，因为人们可以简单地打开应用程序二进制文件并查看应用程序的JavaScript源代码。人们甚至可以添加恶意JavaScript代码，重新打包应用程序，并将其重新提交给应用商店/市场，试图进行应用程序钓鱼。无论是用PhoneGap还是其他语言编写的任何应用程序，都可以进行这种实践，因为反编译Java或Objective-C也是一项类似的简单任务。

PhoneGap实际上可以解决这个安全问题，因为应用程序开发人员可以在运行时在他们的应用程序中下载JavaScript，运行该JavaScript，并在应用程序关闭时将其删除。这样，当设备处于静止状态时，源代码永远不会在设备上。对于Java或Objective-C来说，这是一个更加困难的前景，更不用说App Store中围绕动态运行Objective-C代码的限制了。

然而，我想知道如何防止其他人在服务器上下载我的源代码？

Answer 1

我建议：

• 混淆大部分/所有JS代码。谷歌的闭包编译器是一个不错的选择

应用程序启动时：

• 在设备上存储了一些哈希码，在调用服务器进行动态数据获取之前需要验证
• 在App启动期间，首先将App hashcode推送到服务器以验证App的真实性，服务器将检查该hashcode以验证App的合法性
• 一旦服务器验证了应用程序的合法性，服务器就可以发送另一个哈希码或继续使用相同的哈希码。另外，服务器也可以设置自定义cookie参数......这一切都取决于应用程序的架构

与其发送新的js代码，不如推送json动态数据并在设备上保持js代码混淆。

Answer 2

下面的模式怎么样：

1. 将引导JavaScript嵌入您的应用程序，该应用程序确实启用了针对您的服务器的用户/设备身份验证。尽您所能混淆引导代码。
2. 将您的应用程序的主要逻辑作为JavaScriton保留在您的服务器上（可由经过身份验证的用户访问）
3. 身份验证后，在运行时下载主逻辑JavaScript，运行该JavaScript，并在应用程序关闭时将其删除

持续升级无痛继之。

Answer 3

我建议您对代码进行注释，然后通过Google的闭包编译器运行它，这将混淆代码并执行某些优化。这将使人们很难阅读您的代码，但除此之外，您将不得不接受JS是客户端语言的事实。