从踩坑到真香，我的App加固血泪史
大家好呀,我是你们的老朋友，一个在移动开发圈摸爬滚打了快六年的Android开发，今天不聊什么高大上的架构，就想跟你们唠唠嗑，分享一下我最近用腾讯乐固案例分享的真实经历，说实话，一开始我内心是抗拒的，但用完之后……嗯，真香。
为什么要折腾加固这件事？
先说说背景吧,我们团队做的是一个金融类的App，日活不算特别大，但用户数据敏感度极高，去年年底，老板突然拍桌子：“咱们的App被人反编译了，核心逻辑都快被人扒光了！”我当时那个汗啊，蹭蹭往下冒。
其实之前也考虑过加固,但总觉得“加固”这词听着就重，怕影响性能、怕兼容性出问题、怕这怕那，结果呢？怕什么来什么，被人逆向之后，我们才开始认真找方案。
市面上加固产品不少,什么360加固、爱加密、梆梆……但我最后选了腾讯乐固，为啥？一是腾讯自家的东西，跟微信、QQ这些生态兼容性好；二是听说乐固在兼容性和性能损耗上做了不少优化；三是……好吧，我承认，腾讯的品牌背书让我心里踏实点。
腾讯乐固上手初体验：比想象中简单
说实话,我原本以为接入加固会特别麻烦，得改一堆代码、配一堆东西，结果打开腾讯乐固的文档一看——哎？居然挺友好的嘛！
它的接入方式主要有两种：一种是直接上传APK到乐固平台，在线加固后下载；另一种是通过命令行工具或者Gradle插件集成到CI流程里，我们团队用的是Jenkins自动化构建，所以果断选了命令行方式。
第一次加固的时候,我战战兢兢地上传了包，等了大概几分钟……嗯，真的就几分钟，加固包就下来了，我当时还特意对比了一下体积，只增加了不到2MB，完全在可接受范围内。
踩过的那些坑（真实经历，不吹不黑）
当然啦,哪有那么一帆风顺的事情，第一次加固完，我兴冲冲地装到测试机上，结果……闪退了，没错，就是那种一打开就黑屏闪退的酸爽。
我当时心里咯噔一下：完了，是不是加固把什么反射调用的东西给搞坏了？赶紧查日志，发现是一个第三方SDK里的反射调用被加固的混淆策略影响了，于是我去翻乐固的文档，发现人家早就写了——可以通过配置白名单来保留某些类和方法不被混淆。
这里我得吐槽一下自己：文档是个好东西，可惜我总是不爱看，后来按照文档配置了keep规则，重新加固，问题解决，所以各位老铁，千万别学我，一定要先读文档啊！
还有一次,是跟某个加固策略有关的，我们App里有个热修复功能，加固之后热修复失效了，后来咨询了乐固的技术支持（对，他们有专门的对接群，响应还挺快的），才知道需要开启“热修复兼容模式”，开启之后，一切正常。
加固之后的效果：安全感拉满
用了腾讯乐固大概三个月了,说说实际效果吧。
第一，反编译难度大幅提升。 之前用jadx打开我们的APK，代码基本能看个七七八八，加固之后，再拿jadx去反编译，出来的全是乱码和无效指令，当然啦，我知道没有绝对的安全，但至少把门槛抬高了很多，那些脚本小子级别的逆向者基本可以劝退了。
第二，性能影响微乎其微。 这一点是我最担心的，但实测下来，冷启动时间增加了不到50ms，内存占用几乎没变化，对于用户来说，完全无感知。
第三，兼容性稳。 我们覆盖了市面上主流的几十款机型，从华为、小米到OPPO、vivo，还有各种安卓版本，目前没遇到因为加固导致的兼容性问题。
一些掏心窝子的建议
如果你也在考虑加固,我有几个小建议：
- 一定要在测试环境充分验证，别直接上生产包，加固之后多跑几轮自动化测试，尤其是涉及反射、JNI、动态加载的地方。
- 善用白名单配置，别一股脑全混淆了，该保留的保留，不然出了事排查起来很痛苦。
- 关注加固包的签名和渠道信息，乐固支持加固后重新签名，但一定要确保签名正确，不然安装都会失败。
- 有问题及时找技术支持，别自己闷头搞，腾讯乐固的对接群里有官方技术同学，回复速度还挺快的。
总结一下
所以说啊,腾讯乐固案例分享这事，真的是让我从“加固恐惧症”变成了“加固真香党”，虽然中间踩了几个小坑，但整体体验下来，利远大于弊，尤其是在当前这个隐私合规越来越严、安全要求越来越高的环境下，给App加一层靠谱的防护，真的很有必要。
如果你还在犹豫要不要加固,我的建议是：别犹豫了，先拿测试包试试水，反正腾讯乐固有免费试用额度，试错成本几乎为零，试完你就会发现，嗯，这波不亏。
好了,今天就唠到这里，如果你也有类似的加固经历，或者有什么问题想问我，欢迎在评论区留言，咱们一起交流交流，毕竟，安全这条路，一个人走太孤单了，哈哈哈。