如果别人通过反编译 android java code，获得了 REST 的 accessKey 和 secretKey，那怎么处理？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 4079 天前的主题，其中的信息可能已经有所发展或是发生改变。

请教

10 条回复 • 2014-12-08 11:48:37 +08:00

abelyao

2014 年 11 月 28 日 via Android

所以大多数服务商例如 SAE / UPYUN / 微信，都可以更换 SecretKey 嘛

benjiam

2014 年 11 月 28 日 via iPad

问题一破解你换key 原有的客户端怎么办完全失效

NCE

2014 年 11 月 28 日

这个时候就显出OAUTH验证的优势了。。。

oott123

2014 年 11 月 28 日 via Android

@NCE oAuth 不是也有 ak 和 sk 嘛，被拿去做坏事也不好啊~

再说 OAuth 是给用户鉴权用的，像 APP 的推送这类 SDK 也没办法用不是…

sampeng

2014 年 11 月 28 日

我的做法是放到ndk编译的so里面，然后这些key不是写死的，是用算法算出来的。

arachide

2014 年 11 月 28 日

@sampeng 如果客户端是网页用leancloud怎么办呢

icylogic

2014 年 11 月 28 日 via Android

http://kb.qiniu.com/53cy0s73 不要放key，服务端实时发 token

julyclyde

2014 年 11 月 28 日

@NCE 这事oauth完全显示不了任何优势

arachide

2014 年 11 月 28 日

@icylogic 请问这个如何将Access Key 和 Secret Key放在服务器端

hjiang

2014 年 12 月 8 日

LeanCloud 提供了 ACL 机制来保证数据安全性，不需要假设 AppKey 和 AppID 是保密的。