Android应用代码混淆

Android应用代码混淆

一、代码混淆原因

• Java是一种跨平台的、解释型语言，Java 源代码编译成中间”字节码”存储于class 文件中。
• 由于跨平台的需要，Java字节码中包括了很多源代码信息，如变量名、方法名，并且通过这些名称来访问变量和方法，这些符号带有许多语义信息，很容易被反编译成 Java 源代码。为了防止这种现象，我们可以使用Java混淆器对Java字节码进行混淆。
• 混淆就是对发布出去的程序进行重新组织和处理，使得处理后的代码与处理前代码完成相同的功能，而混淆后的代码很难被反编译，即使反编译成功也很难得出程序的真正语义。
• 被混淆过的程序代码，仍然遵照原来的档案格式和指令集，执行结果也与混淆前一样，只是混淆器将代码中的所有变量、函数、类的名称变为简短的英文字母代号，在缺乏相应的函数名和程序注释的况下，即使被反编译，也将难以阅读。
• 同时混淆是不可逆的，在混淆的过程中一些不影响正常运行的信息将永久丢失，这些信息的丢失使程序变得更加难以理解。

二、Proguard作用

• 压缩shrinks：检查并移除代码中无用的类，字段，方法，属性。
• 优化optimizes：对字节码进行优化，移除无用的指令。
• 混淆obfuscates：使用a，b，c，d等简短而无意义的名称，对类，字段和方法进行重名，这样即使代码被逆向工程，对方也比较难以读懂。
• 预检测Preveirfy：在java平台上对处理后的代码进行再次检测。

三、Keep关键字

• 有时候你是不是还想着，我不需要保持类名，我只需要把该类下的特定方法保持不被混淆就好，那你就不能用keep方法了，keep方法会保持类名，而需要用keepclassmembers如此类名就不会被保持。
• -keep：包留类和类中的成员，防止他们被混淆。
• -keepnames：保留类和类中的成员防止被混淆，但成员如果没有被引用将被删除。
• -keepclassmembers：只保留类中的成员，防止被混淆和移除。
• -keepclassmembernames：只保留类中的成员，但如果成员没有被引用将被删除。
• -keepclasseswithmembers：如果当前类中包含指定的方法，则保留类和类成员，否则将被混淆。
• -keepclasseswithmembernames：如果当前类中包含指定的方法，则保留类和类成员，如果类成员没有被引用，则会被移除。

四、混淆原则

• jni方法不可混淆，因为需要与native方法保持一致。
• 反射用到的类不混淆(否则反射可能出现问题)。
• 四大组件、Application子类、Framework层下的类、自定义的View默认不会被混淆，无需另外配置。
• Parcelable的子类和Creator静态成员变量不混淆，否则会产生Android.os.BadParcelableException异常。
• 使用GSON、fastjson等框架时，所写的JSON对象类不混淆，否则无法将JSON解析成对应的对象。
• 使用第三方开源库或者引用其他第三方的SDK包时，需要在混淆文件中加入对应的混淆规则。
• 有用到WebView的JS调用也需要保证写的接口方法不混淆。
• 使用enum类型时需要注意避免以下两个方法混淆，因为enum类的特殊性，以下两个方法会被反射调用。
• 注解相关的类不混淆。
• 继承Parceable和Serializable等可序列化的类不可混淆。
• 第三方库或SDK，请参考第三方提供的混淆规则，没提供的话，建议第三方包全部不混淆。

五、第三方库的混淆原则

• 一般的第三方库都有自身的混淆方案，可直接引用其自身的混淆配置即可 若无混淆配置，一般的可配置不混淆第三方库。

六、配置样例

---------------------------------基本指令区----------------------------------
-optimizationpasses 5 #指定代码的压缩级别 0 - 7(指定代码进行迭代优化的次数，在Android里面默认是5，这条指令也只有在可以优化时起作用。)
-dontusemixedcaseclassnames #混淆时不会产生形形色色的类名(混淆时不使用大小写混合类名)
-dontskipnonpubliclibraryclasses #指定不去忽略非公共的库类(不跳过library中的非public的类)
-dontskipnonpubliclibraryclassmembers #指定不去忽略非公共的的库类的成员
-dontpreverify #不进行预校验,Android不需要,可加快混淆速度
-verbose #混淆时记录日志（混淆后生产映射文件map类名 -> 转化后类名的映射)
-printmapping proguardMapping.txt #指定映射文件的名称
-optimizations !code/simplification/cast,!field/*,!class/merging/* #指定混淆是采用的算法，后面的参数是一个过滤器，这个过滤器是谷歌推荐的算法，一般不做更改
-keepattributes *Annotation*,InnerClasses #保护代码中的注解、内部类不被混淆
-ignorewarning #忽略警告
-keepattributes Signature #避免混淆泛型，这在JSON实体映射时非常重要，比如fastJson
-keepattributes SourceFile,LineNumberTable #抛出异常时保留代码行号，在异常分析中可以方便定位
-useuniqueclassmembernames #把混淆类中的方法名也混淆了
-allowaccessmodification #优化时允许访问并修改有修饰符的类和类的成员
-renamesourcefileattribute SourceFile #将文件来源重命名为SourceFile字符串
----------------------------------------------------------------------------

---------------------------------默认保留区---------------------------------
#四大组件相关
-keep public class * extends android.app.Activity
-keep public class * extends android.app.Application
-keep public class * extends android.app.Service
-keep public class * extends android.content.BroadcastReceiver
-keep public class * extends android.content.ContentProvider
-keep public class * extends android.app.backup.BackupAgentHelper
-keep public class * extends android.preference.Preference
-keep public class * extends android.view.View
-keep public class com.android.vending.licensing.ILicensingService
-keep class android.support.** {*;}

#androidx混淆
-keep class com.google.android.material.** {*;}
-keep class androidx.** {*;}
-keep public class * extends androidx.**
-keep interface androidx.** {*;}
-dontwarn com.google.android.material.**
-dontnote com.google.android.material.**
-dontwarn androidx.**
-printconfiguration
-keep,allowobfuscation @interface androidx.annotation.Keep
-keep @androidx.annotation.Keep class *
-keepclassmembers class * { @androidx.annotation.Keep *; }

#保留所有的本地 native 方法不被混淆

-keepclasseswithmembernames class * {  
  native <methods>;  
}

#保留在 Activity 中的方法参数是 view 的方法，从而我们在 layout 里面编写 onClick 就不会被影响

-keepclassmembers class * extends android.app.Activity{  
  public void *(android.view.View);  
}

#枚举类不能被混淆

-keepclassmembers enum * {  
  public static **[] values();  
  public static ** valueOf(java.lang.String);  
}

#保留自定义控件（继承自 View）不被混淆

-keep public class * extends android.view.View{  
  *** get*();  
  void set*(***);  
  public <init>(android.content.Context);  
  public <init>(android.content.Context, android.util.AttributeSet);  
  public <init>(android.content.Context, android.util.AttributeSet, int);  
}      
-keepclasseswithmembers class * {  
  public <init>(android.content.Context, android.util.AttributeSet);  
  public <init>(android.content.Context, android.util.AttributeSet, int);  
}

#保留 Parcelable 序列化的类不被混淆

-keep class * implements android.os.Parcelable {
  *;
}

#保留 Serializable 序列化的类不被混淆

-keep class * implements java.io.Serializable { *;}
-keepclassmembers class * implements java.io.Serializable {
  static final long serialVersionUID;
  private static final java.io.ObjectStreamField[] serialPersistentFields;
  private void writeObject(java.io.ObjectOutputStream);
  private void readObject(java.io.ObjectInputStream);
  java.lang.Object writeReplace();
  java.lang.Object readResolve();
}

#对于 R（资源）下的所有类及其方法，都不能被混淆

-keep class **.R$* {
  *;
}

#对于带有回调函数onXXEvent的，不能被混淆

-keepclassmembers class * {
  void *(**On*Event);
}

#不混淆方法中的json对象

-keepclassmembers class * {
  public <init>(org.json.JSONObject);
}

#不混淆js接口

-keepattributes *JavascriptInterface*

----------------------------------------------------------------------------

#webview

-keepclassmembers class fqcn.of.javascript.interface.for.Webview {
  public *;
}
-keepclassmembers class * extends android.webkit.WebViewClient {
  public void *(android.webkit.WebView, java.lang.String, android.graphics.Bitmap);
  public boolean *(android.webkit.WebView, java.lang.String);
}
-keepclassmembers class * extends android.webkit.WebViewClient {
  public void *(android.webkit.WebView, jav.lang.String);
}

#ARouter

-keep public class com.alibaba.android.arouter.routes.**{*;}
-keep public class com.alibaba.android.arouter.facade.**{*;}
-keep class * implements com.alibaba.android.arouter.facade.template.ISyringe{*;}
#如果使用了 byType 的方式获取 Service，需添加下面规则，保护接口
-keep interface * implements com.alibaba.android.arouter.facade.template.IProvider

#GreenDao

-keepclassmembers class * extends org.greenrobot.greendao.AbstractDao {
  public static java.lang.String TABLENAME;
}
-keep class **$Properties { *; }
#If you DO use SQLCipher:
-keep class org.greenrobot.greendao.database.SqlCipherEncryptedHelper { *; }
#If you do NOT use SQLCipher:
-dontwarn net.sqlcipher.database.**
#If you do NOT use RxJava:
-dontwarn rx.**

#使用gson包解析数据时，出现 missing type parameter 异常，添加如下代码

-dontobfuscate #不混淆输入的类文件
-dontoptimize  #不优化输入的类文件

#不混淆GSON

-keep class com.google.gson.** { *; }
-keep class com.google.gson.JsonObject {*;}
-keep class org.json.** {*;}
-keep class com.badlogic.** { *;}
-keep class * extends com.badlogic.gdx.utils.Json*
-keep class com.google.** {*;}
-keep class sun.misc.Unsafe { *; }
-keep class com.futurice.project.models.pojo.** { *; }

#iflytek

-keep class com.iflytek.**{*;}
-keepattributes Signature

#OCR

-keep class com.baidu.ocr.sdk.**{*;}
-dontwarn com.baidu.ocr.**

#jni中的自定义Bean

-keep public class com.jui.**{*;}
-keep public class com.jni.library.**{*;}

#proxy

-keep public class com.selection.**{*;}

七、总结

混淆需要结合自身代码实际，除了基本配置规则，没有固定模板。