[安全测试显示我的Android应用程序具有硬编码的敏感数据，这是有风险的。它属于核心Android库。如何解决？

Question

我通过Android应用APK上的ImmuniWeb工具进行了安全测试。该工具所做的一项观察是，其中一个应用程序包含硬编码的敏感数据。它进一步说：

具有访问移动应用程序文件权限的攻击者可以轻松地从应用程序中提取此数据，并在以后的应用中使用攻击。

有“ google_api_key”，“ google_crash_reporting_api_key”和在文件中找到“ google_storage_bucket”'android / res / values / strings.xml'

问题是此strings.xml文件是自动生成的，无法编辑：

如何清除此问题？

Answer 1

您所引用的数据不是“私有”或“敏感”的。这是Firebase产品的标准配置，作为使用Google Play服务插件的标准应用程序构建的一部分注入到您的应用程序中。所有这些值仅是Firebase和Google服务的标识符，客户端必须知道它们才能解决这些服务。没有它们，您的应用程序将不知道去哪里获取信息。

[如果您在应用中使用实时数据库，Firestore或云存储，则应针对这些产品使用每种产品的安全规则，以限制谁可以读写这些产品中的哪些位置。这就是您在使用Firebase的应用程序中实现安全性的方式。试图隐藏或混淆配置不会破坏坚定的攻击者。

我对用于此安全扫描的此工具一无所知，但似乎并不了解这些事实。