Day005_App应用

原生开发：
- Android：主要使用 Java / Kotlin，调用系统 UI 控件与原生 SDK 实现高性能体验。可通过自定义控件实现复杂界面。
- iOS（原生）：Objective‑C / Swift。适配系统控件、性能与体验最佳。
- 优点：性能与用户体验最佳，访问设备能力全面。
- 缺点：多平台需多套开发成本高。
H5（WebView）开发：
- 使用 HTML/CSS/JS 构建页面，通过 WebView 嵌入到 App 内。适用于需要多端共享或分享的页面。
- 优点：跨平台复用高、上线迭代快。
- 缺点：体验与性能不如原生，受限于浏览器/内核能力。
Flutter（跨平台）：
- 使用 Dart 与 Flutter 框架，采用自绘渲染（Skia），接近原生体验。
- 优点：跨平台、渲染流畅、开发效率高于多套原生。
- 缺点：生态与成熟度相对较新，部分平台集成或第三方库支持欠缺。
Web App / 混合壳模式：
- 将网站打包为 App 壳（Cordova、Capacitor 等），App 本身多为网页展示。
- 优点：开发成本低、技术门槛小。
- 缺点：每次打开需加载资源、用户体验与交互受限。

示例项目：remusic（演示原生 Android 源码分析）。
常用工具：
- NP 管理器（示例）：http://normalplayer.top/
- HttpCanary（抓包，Android SSL 解密、Magisk 支持）：https://github.com/mingww64/HttpCanary-SSL-Magisk
安全影响：
- 逆向与反编译（apk → 源码/资源）导致配置、密钥、API 信息泄露。
- 抓包/流量分析（HttpCanary 等）暴露接口、Token、加密逻辑弱点。
- 从逆向角度分析业务逻辑与权限校验缺陷。

反编译分析：
- 目标：提取源码、配置信息（API 域名、AK、密钥、加密算法实现）。
- 工具：jadx、apktool、class‑decompiler 等。
抓包与流量分析：
- 目标：识别未加密/不安全传输、Token 使用、会话管理缺陷、接口边界问题。
- 工具：HttpCanary、Burp Suite、Frida（动态）等。
接口安全测试：
- 包括：认证/鉴权绕过、逻辑缺陷、参数篡改、越权访问、频率限制检测。
前端 JS 与配置审计：
- 检查是否存在敏感常量、硬编码凭证、第三方依赖漏洞、未限制的跨域策略。
保护建议：
- 不在客户端保存敏感密钥；对关键操作进行服务端校验；对重要 API 使用短期凭证/签名；对敏感逻辑进行混淆或采用可信执行方案；启用 HTTPS 严格传输和证书校验。

LoCreics Space