1.如何完全避免Android APK的反向工程？这可能吗？

AFAIK，没有任何技巧可以完全避免逆向工程。

@inazaruk也说得很好：无论你对代码做了什么，潜在的攻击者都可以以她或他认为可行的任何方式修改代码。你基本上无法保护你的应用程序不被修改。您在其中放置的任何保护都可以禁用/删除。

2.如何保护应用程序的所有资源、资产和源代码，使黑客无法以任何方式破解APK文件？

不过，你可以使用不同的技巧来提高黑客攻击的难度。例如，使用混淆（如果是Java代码）。这通常会大大降低逆向工程的速度。

3.有没有办法让黑客攻击变得更加困难甚至不可能？我还能做什么来保护APK文件中的源代码？

正如大家所说的，正如你可能知道的，没有100%的安全性。但谷歌内置的安卓系统的起点是ProGuard。如果您可以选择包含共享库，则可以在C++中包含所需的代码，等。如果您需要在每次构建时将外部本机库添加到APK的库文件夹中，那么你可以根据以下建议使用它。

将库放在默认为“libs”的本机库路径中您的项目文件夹。如果您为“armeabi”目标构建了本机代码，请将其放入在libs/armeabi下。如果它是用armeabi-v7a建造的，那么把它放在下面libs/armeabi-v7a。

<project>/libs/armeabi/libstuff.so

1.如何完全避免Android APK的反向工程？这可能吗？

不可能的

2.如何保护应用程序的所有资源、资产和源代码，使黑客无法以任何方式破解APK文件？

不可能的

3.有没有办法让黑客攻击变得更加困难甚至不可能？我还能做什么来保护APK文件中的源代码？

可能会更难，但事实上，对于普通用户来说，这将更难，因为他们只是在谷歌上搜索黑客指南。如果有人真的想入侵你的应用程序，它迟早会被入侵。

100%避免Android APK的反向工程是不可能的，但您可以使用以下方法避免提取更多数据，如源代码、APK中的资产和资源：

使用ProGuard混淆应用程序代码使用使用C和C++的NDK将应用程序核心和安全部分代码放在.so文件中为了保护资源，不要将所有重要资源都包含在APK的资产文件夹中。在应用程序首次启动时下载这些资源。

AFAIK，您不能再保护/res目录中的文件，因为它们现在受到保护。

然而，您可以采取一些步骤来保护源代码，或者至少保护它的功能（如果不是所有功能）。

使用ProGuard等工具。这些将使您的代码变得模糊，如果不是不可能的话，在反编译时更难阅读。将服务中最关键的部分从应用程序中移出，并隐藏在服务器端语言（如PHP）后面的Web服务中。例如，如果你有一个花费了一百万美元编写的算法。你显然不希望人们从你的应用程序中窃取它。移动算法，让它在远程服务器上处理数据，然后使用应用程序简单地向它提供数据。或者使用NDK将它们本机写入.so文件，这比apk更不容易被反编译。我认为目前还没有一个.so文件的反编译器（即使存在，也不如Java反编译器）。此外，正如@nikolay在评论中提到的，在服务器和设备之间进行交互时，应该使用SSL。在设备上存储值时，不要以原始格式存储。例如，如果您有一个游戏，并且您正在SharedPreferences中存储用户的游戏货币数量。假设是10000枚硬币。不要直接保存10000，而是使用（（货币*2）+1）/13这样的算法保存。因此，您将1538.53846154保存到SharedPreferences中，而不是10000。然而，上面的例子并不完美，你必须努力想出一个不会因舍入误差而失去货币价值的公式。您可以对服务器端任务执行类似的操作。现在举个例子，让我们来看看你的支付处理应用。假设用户必须支付200美元。不要向服务器发送一个200美元的原始值，而是发送一系列较小的预定义值，这些值加起来可以达到200美元。例如，在服务器上有一个文件或表，它将单词与值等同。假设查理相当于47美元，约翰相当于3美元。所以，你不需要寄200美元，而是可以寄查理四次，约翰四次。在服务器上，解释它们的含义并将其相加。这可以防止黑客向您的服务器发送任意值，因为他们不知道哪个单词对应什么值。作为一种额外的安全措施，您可以使用类似于第3点的公式，并每隔n天更改关键字。最后，你可以在你的应用程序中插入随机无用的源代码，这样黑客就可以大海捞针了。插入包含来自互联网的片段的随机类，或者只是用于计算诸如斐波那契序列之类的随机事物的函数。确保这些类可以编译，但不会被应用程序的实际功能所使用。添加足够多的这些虚假类，黑客将很难找到真正的代码。

总而言之，没有办法100%保护您的应用程序。你可以让它更难，但不是不可能。你的网络服务器可能会被破坏，黑客可以通过监控多个交易金额和你发送的关键字来找出你的关键字，黑客可以费力地通过源代码找出哪个代码是伪代码。

你只能反击，但永远不会赢。

这里的主要问题是，dex文件是否可以反编译，答案是它们可以“有点”。有像dedexer和smali这样的拆装器。

正确配置的ProGuard会使代码变得模糊。DexGuard是ProGuard的商业扩展版本，它可能会有更多帮助。然而，您的代码仍然可以转换为smali，具有逆向工程经验的开发人员将能够从smali中了解您正在做什么。

也许选择一个好的许可证，并以最好的方式通过法律强制执行。

1.如何完全避免Android APK的反向工程？这可能吗？

这是不可能的

2.如何保护应用程序的所有资源、资产和源代码，使黑客无法以任何方式破解APK文件？

当某人将.apk扩展名更改为.zip，然后在解压缩之后，某人可以轻松地获取所有资源（Manifest.xml除外），但使用APKtool，也可以获取清单文件的真实内容。同样，一个不。

3.有没有办法让黑客攻击变得更加困难甚至不可能？我还能做什么来保护APK文件中的源代码？

同样，不，但你可以在一定程度上防止，

从Web下载资源并执行一些加密过程使用预编译的本机库（C、C++、JNI、NDK）始终执行一些哈希（MD5/SHA密钥或任何其他逻辑）

即使使用Smali，人们也可以使用您的代码。总而言之，这是不可能的。

在计算历史上，当您将软件的工作副本提供给攻击者时，从未有过阻止软件逆向工程的可能。而且，在大多数情况下，这是不可能的。

明白了这一点，就有了一个显而易见的解决方案：不要把你的秘密泄露给攻击者。虽然你不能保护APK的内容，但你可以保护的是你没有分发的任何内容。通常，这是服务器端软件，用于激活、支付、规则执行和其他有趣的代码。您可以通过不在APK中分发有价值的资产来保护它们。相反，设置一个服务器来响应应用程序的请求，“使用”资产（无论这意味着什么），然后将结果发送回应用程序。如果这个模型不适用于你心目中的资产，那么你可能需要重新思考你的战略。

此外，如果你的首要目标是防止应用程序盗版，那就别费心了。你已经在这个问题上花费了比任何反盗版措施都能挽救你的时间和金钱。解决这一问题的投资回报率很低，甚至连思考都没有意义。

我建议您查看“保护软件应用程序免受攻击”。这是一项商业服务，但我朋友的公司使用了它，他们很高兴使用它。

你的客户应该雇佣一个知道他们在做什么、能够做出正确决定并能够指导你的人。

上面所说的你有能力改变后端的事务处理系统是荒谬的——你不应该被允许进行这样的架构改变，所以不要期望能够这样做。

我的理由是：

由于您的域是支付处理，因此可以安全地假设PCI DSS和/或PA DSS（以及潜在的州/联邦法律）对您的业务非常重要-为了符合要求，您必须证明自己是安全的。为了不安全，然后（通过测试）发现自己不安全，再进行修复、重新测试等，直到安全性能够在合适的水平上得到验证=昂贵、缓慢、高风险的成功方法。要做正确的事情，要事先认真思考，让有经验的人才投入工作，以安全的方式发展，然后测试、修复（更少）等，直到安全性可以在合适的水平上得到验证=廉价、快速、低风险的成功方式。

基本上这是不可能的。这永远不可能。然而，这是有希望的。你可以使用混淆器来实现，这样一些常见的攻击就更难执行了，包括：

重命名方法/类（因此在反编译器中，您可以获得像.a这样的类型）使控制流混乱（因此在反编译器中，代码很难阅读）加密字符串和可能的资源

我肯定还有其他的，但这是主要的。我在一家名为PreEmptive Solutions的公司工作，负责.NET混淆器。他们还有一个适用于Android的Java混淆器，一个叫做DashO的混淆器。

不过，困惑总是有代价的。值得注意的是，性能通常更差，通常需要一些额外的时间来发布。然而，如果你的知识产权对你来说非常重要，那么它通常是值得的。

否则，你唯一的选择就是让你的Android应用程序直接传递到一个承载你应用程序所有真实逻辑的服务器。这有其自身的问题，因为这意味着用户必须连接到Internet才能使用您的应用程序。

此外，不仅仅是Android有这个问题。这是每个应用商店的问题。这只是获取程序包文件有多困难的问题（例如，我不相信在iPhone上很容易，但仍然有可能）。

应用程序安全的第一条规则：攻击者获得不受限制的物理或电子访问权限的任何机器现在都属于您的攻击者，无论其实际位置或您为此支付的费用。应用程序安全的第二条规则：任何离开攻击者无法穿透的物理边界的软件现在都属于您的攻击者，无论您花费了多少时间对其进行编码。第三条规则：任何离开攻击者无法穿透的物理边界的信息都属于您的攻击者，无论它对您有多大价值。

信息技术安全的基础是基于这三个基本原则；唯一真正安全的计算机是被锁在法拉代笼子里的保险箱里，被锁在钢笼子里。有些计算机的大部分使用寿命都处于这种状态；每年一次（或更少），他们为可信的根认证机构生成私钥（在一大群目击者面前，摄像机记录下他们所在房间的每一寸）。

现在，大多数计算机不在这些类型的环境下使用；他们在户外，通过无线电台连接到互联网。简而言之，他们很脆弱，他们的软件也是如此。因此，他们不值得信任。为了有用，计算机及其软件必须知道或做某些事情，但必须小心确保它们永远不会知道或做足够的事情来造成损坏（至少不会造成超出单个机器范围的永久性损坏）。

你已经知道这一切了；这就是为什么要保护应用程序的代码。但是，其中存在第一个问题；混淆工具可以使代码变得一团糟，让人类试图挖掘，但程序仍然必须运行；这意味着应用程序的实际逻辑流及其使用的数据不受混淆的影响。只要有一点韧性，攻击者就可以简单地对代码进行反混淆，在某些情况下，这甚至是不必要的，在这种情况下，他所看到的不是其他东西，而是他正在寻找的东西。

相反，你应该努力确保攻击者不能对你的代码做任何事情，无论他多么容易获得代码的清晰副本。这意味着，没有硬编码的秘密，因为一旦代码离开你开发它的建筑，这些秘密就不是秘密。

这些硬编码的键值应该从应用程序的源代码中完全删除。相反，他们应该在三个地方之一；设备上的易失性内存，攻击者很难（但仍然不是不可能）获得的脱机副本；永久位于服务器集群上，您可以使用铁腕控制访问；或者存储在与您的设备或服务器无关的第二个数据存储中，例如物理卡或用户的存储器中（这意味着它最终将存储在易失性存储器中，但不需要很长时间）。

考虑以下方案。用户将应用程序的凭据从内存输入设备。不幸的是，您必须相信用户的设备尚未被键盘记录器或木马程序破坏；在这方面，你能做的最好的就是实现多因素安全，记住关于用户使用过的设备的难以伪造的识别信息（MAC/IP、IMEI等），并提供至少一个额外的通道，通过该通道可以验证在陌生设备上的登录尝试。

凭证一旦输入，就会被客户端软件混淆（使用安全散列），并丢弃纯文本凭证；他们达到了目的。混淆后的凭据通过安全通道发送到证书认证服务器，该服务器再次对它们进行散列，以生成用于验证登录有效性的数据。这样，客户端就永远不知道与数据库值实际比较的内容，应用程序服务器永远不知道它接收到的验证内容背后的明文凭证，数据服务器永远不了解它存储的验证数据是如何生成的，中间的人即使安全通道被破坏，也只会看到胡言乱语。

一旦验证，服务器将通过信道发回令牌。令牌仅在安全会话中有用，由随机噪声或会话标识符的加密（因此可验证）副本组成，客户端应用程序必须在同一信道上向服务器发送此令牌，作为任何请求的一部分。客户机应用程序会多次这样做，因为它不能做任何涉及金钱、敏感数据或其他可能会对其造成损害的事情；它必须改为要求服务器执行此任务。客户端应用程序永远不会将任何敏感信息写入设备本身的永久内存，至少不会以明文形式写入；客户端可以通过安全通道向服务器请求对称密钥来加密服务器将记住的任何本地数据；在稍后的会话中，客户端可以向服务器请求相同的密钥来解密数据以在易失性存储器中使用。这些数据也不会是唯一的副本；客户机存储的任何内容也应以某种形式传输到服务器。

显然，这使您的应用程序严重依赖Internet访问；客户端设备不能在没有与服务器的正确连接和服务器的认证的情况下执行其任何基本功能。真的和Facebook没什么不同。

现在，攻击者想要的计算机是你的服务器，因为它而不是客户端应用程序/设备是可以让他赚钱或让其他人痛苦的东西。没关系；与试图保护所有客户机相比，您花费金钱和精力来保护服务器会获得更大的回报。该服务器可以位于各种防火墙和其他电子安全装置的后面，此外，还可以在钢铁、混凝土、钥匙卡/插针访问和24小时视频监控的后面进行物理保护。您的攻击者需要非常老练才能直接访问服务器，而且您应该立即了解这一点。

攻击者所能做的最好的事情就是窃取用户的电话和凭据，并使用客户端的有限权限登录到服务器。如果发生这种情况，就像丢失一张信用卡一样，合法用户应该被指示从他们可以访问的任何电话拨打一个800号码（最好是容易记住的号码，而不是在钱包、钱包或公文包中携带的卡背面，这可能会在移动设备旁边被盗），该电话可以直接连接到您的客户服务。他们声明自己的手机被盗，提供一些基本的唯一标识符，账户被锁定，攻击者可能处理的任何交易都被回滚，攻击者又回到了原点。

这里其他被否决的答案是正确的。我只是想提供另一种选择。

对于您认为重要的某些功能，您可以在应用程序中托管WebView控件。然后，该功能将在您的web服务器上实现。它看起来像是在您的应用程序中运行的。

如果我们想让逆向工程（几乎）不可能实现，我们可以将应用程序放在一个高度防篡改的芯片上，该芯片在内部执行所有敏感的内容，并与一些协议通信，使控制GUI在主机上成为可能。即使是防篡改芯片也不能100%防裂；他们只是设定了比软件方法高得多的标准。当然，这是不方便的：该应用程序需要一些小的USB疣来保持芯片插入设备。

这个问题并没有揭示出想要如此谨慎地保护这个应用程序的动机。

如果目的是通过隐藏应用程序可能存在的任何安全缺陷（已知或其他）来提高支付方法的安全性，那么这是完全错误的。如果可行的话，安全敏感位实际上应该是开源的。您应该尽可能方便任何审查您的应用程序的安全研究人员查找这些信息并仔细检查其操作，并与您联系。付款应用程序不应包含任何嵌入证书。也就是说，不应该有任何服务器应用程序仅仅因为设备具有来自工厂的固定证书而信任该设备。支付交易应仅凭用户的凭证进行，使用正确设计的端到端认证协议，避免信任应用程序、平台或网络等。

如果目标是防止克隆，除了防篡改芯片之外，你无法采取任何措施来保护程序不被反向工程和复制，从而使某人将兼容的支付方法融入自己的应用程序，从而导致“未经授权的客户”。有一些方法可以使开发未经授权的客户端变得困难。一种方法是基于程序完整状态的快照创建校验和：所有状态变量，所有内容。GUI、逻辑等等。克隆程序将不具有完全相同的内部状态。当然，它是一个状态机，具有类似的外部可见状态转换（可以通过输入和输出观察到），但几乎没有相同的内部状态。服务器应用程序可以询问程序：您的详细状态是什么？（即给我一个所有内部状态变量的校验和）。这可以与虚拟客户端代码进行比较，虚拟客户端代码在服务器上并行执行，并经过真正的状态转换。第三方克隆人必须复制真实程序的所有相关状态变化，才能给出正确的响应，这将阻碍其开发。

1.如何完全避免Android APK的反向工程？这可能吗？

那是不可能的

2.如何保护应用程序的所有资源、资产和源代码，使黑客无法以任何方式破解APK文件？

开发人员可以采取一些措施，例如使用ProGuard之类的工具来混淆他们的代码，但到目前为止，要完全阻止某人对应用程序进行反编译还是相当困难的。

这是一个非常棒的工具，可以增加“反转”代码的难度，同时缩小代码的占地面积。

集成ProGuard支持：ProGuard现在与SDK工具一起打包。开发人员现在可以将其代码作为发布构建的集成部分进行模糊处理。

3.有没有办法让黑客攻击变得更加困难甚至不可能？我还能做什么来保护APK文件中的源代码？

在研究期间，我了解了HoseDex2Jar。此工具将保护您的代码不被反编译，但似乎不可能完全保护您的。

一些有用的链接，你可以参考它们。

Proguard、Android和许可服务器保护Android LVL应用程序堆栈溢出问题：保护Android应用程序不受反向工程的影响真的不可能吗？堆栈溢出问题如何防止Android APK文件反向工程以保护代码？

作为一个在支付平台（包括一个移动支付应用程序（MyCheck））上广泛工作的人，我想说，您需要将这种行为委托给服务器。移动应用程序中不应存储或硬编码支付处理器的用户名或密码（以其为准）。这是您最不希望看到的，因为即使您混淆了代码，也可以理解源代码。

此外，您不应在应用程序上存储信用卡或支付令牌。一切都应该再次委托给您构建的服务。这也会让你以后更容易遵守PCI标准，信用卡公司也不会像对待我们那样，让你喘不过气来。

我如何保护应用程序的所有资源、资产和源代码，使黑客无法以任何方式破解APK文件？

APK文件受SHA-1算法保护。您可以在APK的META-INF文件夹中看到一些文件。如果您提取任何APK文件并更改其内容并再次压缩，当您在Android机器上运行新的APK文件时，它将无法工作，因为SHA-1哈希永远不会匹配。

以下是一些可以尝试的方法：

使用混淆和ProGuard等工具。加密部分源代码和数据。在应用程序中使用专有的内置校验和来检测篡改。引入代码以避免在调试器中加载，也就是说，让应用程序能够检测调试器并退出/终止调试器。将身份验证分离为在线服务。使用应用程序多样性在验证设备之前，使用指纹技术，例如，来自不同子系统的设备的硬件签名。

可信平台模块（TPM）芯片不应该为您管理受保护的代码吗？

它们在个人电脑（尤其是苹果电脑）上越来越常见，并且可能已经存在于今天的智能手机芯片中。不幸的是，目前还没有任何OS API可以使用它。希望有一天，Android会增加对此的支持。这也是清洁内容DRM（Google正在为WebM开发）的关键。

只是上面已经很好的答案的补充。

我知道的另一个技巧是将有价值的代码存储为Java库。然后将该库设置为Android项目。与C.so文件一样好，但Android Lib可以。

这样，这些存储在Android库中的宝贵代码在反编译后将不可见。

基本上，有五种方法可以保护APK文件：

隔离Java程序，加密类文件，转换为本地代码，代码混淆联机加密

我建议你使用在线加密，因为它既安全又方便。你不必花太多时间来实现这一点。

如APK Protect。这是APK的在线加密网站。它提供Java代码和C++代码保护，以实现反调试和反编译效果。操作过程简单易行。

当他们在手机上安装该应用程序时，他们可以完全访问该应用程序的内存。因此，如果你想防止它被黑客入侵，你可以尝试将其制作成这样，你就不能通过使用调试器直接获取静态内存地址。如果有地方可以写并且有限制，那么它们可能会发生堆栈缓冲区溢出。所以在他们写东西的时候尽量做到这一点，如果你必须有一个限制，如果他们发送的字符数超过了限制，如果（input＞limit）则忽略，这样他们就不能把汇编代码放在那里。

不，不可能！

你的三个问题围绕着100%保护应用程序不被阅读。原则上这是做不到的。而且，你在尝试做这件事上投入的越多，你的体验就会越差，最终，无论哪台机器只想读你的应用。想想HTTP的HTTPS本质上有多慢，因为需要处理安全层和数学。层数越多，有人打开它的速度就越慢，但如果你真的想让它被阅读，那就永远不可能，这就是为什么它会被打包并交付的原因。

一个简单的类比是将任何给定的隐藏对象交给某人。如果那个人能看到里面的东西，那么他们就可以拍一张照片，做一些完全类似的事情。更重要的是，在代码的情况下，有足够的专业人员可以创建该对象的精确副本，即使使用完全不同的过程。

假安全感

作为一个处理应用程序，你不应该关心你认为可以在二进制代码中创建的任何安全性，也不应该关心整个系统的完整性。假设来自客户机的任何信息都可能很快变得不可靠。保持应用程序简单、流畅、快速。相反，请担心您的服务器。例如，制定一个严格的通信协议以方便地监控服务器。这是我们唯一可以依靠的。

现在，坚持我的另一个想法，如何改进服务器端。。。

嘴上的钱

我正在开发支付处理应用程序

谷歌通过使用一种简单的财务方法来“保护”谷歌Chrome，在总体上成功地避免了恶意黑客，我引述如下：

我们有50000美元的奖励，奖励参与者可以在客户模式下使用Chromebook或Chromebox进行设备持久性测试

我们真正接近100%“安全”的最佳选择是为我们的金钱价值选择正确的斗争。也许大多数人都无法提供50k的奖励，但即使是1k的奖励也会有很长的路要走，而且这也比将这些钱投资于设计任何类型的bug捕捉器要便宜得多。

投资于人工智能来识别资金流动模式，以预测潜在风险并发现小的泄漏，这也比通过任何工程来防止这两种情况要便宜得多。

明显的例外

当然，这并不能保护我们免受“疯子”和“幸运的恶作剧者”的伤害。。。但什么都不会。同时，如果设置得当，当系统重新调整时，后一组只会享受很少的时间。而一个疯子，我们只需要担心，以防它大到有一个克星。无论如何，这将是一个伟大的故事！：）

太长；没有阅读；

换言之，也许一个更好的问题可以问你自己，而不是“如何避免在我的应用程序中进行逆向工程”，而是“如何设计一个更安全的支付处理系统”，并专注于你实际想要实现的目标：一个安全的系统。

很久以前，我曾尝试写更多关于以上所有内容的文章，以回答一些问题，比如为什么我在引号中加上“安全”和“保护”（它们到底是什么意思？）。

完全避免逆向工程是不可能的，但通过在内部使其更加复杂，攻击者可能更难看到应用程序的清晰操作，这可能会减少攻击向量的数量。

如果应用程序处理高度敏感的数据，则存在各种技术，这些技术会增加代码反向工程的复杂性。一种技术是使用C/C++来限制攻击者容易进行的运行时操作。有大量的C和C++库非常成熟，易于集成，Android提供JNI。

攻击者必须首先绕过调试限制，才能在较低级别上攻击应用程序。这增加了攻击的复杂性。Android应用程序应在应用程序清单中设置Android:debuggable=“false”，以防止攻击者或恶意软件轻易地进行运行时操作。

跟踪检查–应用程序可以确定调试器或其他调试工具当前是否正在跟踪它。如果被跟踪，应用程序可以执行任意数量的可能的攻击响应动作，例如丢弃加密密钥以保护用户数据、通知服务器管理员或其他此类类型的响应以试图自卫。这可以通过检查进程状态标志或使用其他技术来确定，如比较ptrace附件的返回值、检查父进程、进程列表中的黑名单调试器或比较程序不同位置的时间戳。

优化-为了隐藏高级数学计算和其他类型的复杂逻辑，利用编译器优化可以帮助混淆目标代码，使其不易被攻击者分解，从而使攻击者更难理解特定代码。在Android中，这可以通过使用NDK本地编译的库更容易地实现。此外，使用LLVM混淆器或任何保护器SDK将提供更好的机器代码混淆。

剥离二进制文件–剥离本机二进制文件是一种有效的方法，可以增加攻击者查看应用程序低级功能组成所需的时间和技能水平。通过剥离二进制文件，二进制文件的符号表被剥离，这样攻击者就无法轻松调试或反向工程应用程序。您可以参考GNU/Linux系统上使用的技术，如sstriping或使用UPX。

最后，您必须了解混淆和ProGuard等工具。

当您将其放在最终用户手中时，没有什么是安全的，但一些常见的做法可能会使攻击者更难窃取数据。

将主要逻辑（算法）放在服务器端。与服务器和客户端通信；确保服务器和客户端之间的通信通过SSL或HTTPS进行安全；或者使用其他技术用于密钥对生成算法（ECC和RSA）。确保敏感信息保持端到端加密。使用会话并在特定时间间隔后使其过期。加密资源并按需从服务器获取资源。或者你可以制作一个混合应用程序，通过webview访问系统，保护服务器上的资源+代码

多种方法；很明显，您必须牺牲性能和安全性。

Android 7.0中的APK签名方案v2（Nougat）

PackageManager类现在支持使用APK签名方案v2验证应用程序。APK签名方案v2是一个完整的文件签名方案，通过检测对APK文件的任何未经授权的更改，显著提高了验证速度并加强了完整性保证。

为了保持向后兼容性，APK必须在使用v2签名方案签名之前使用v1签名方案（JAR签名方案）签名。使用v2签名方案，如果在使用v2方案签名后使用附加证书对APK进行签名，则验证失败。

APK签名方案v2支持稍后将在N开发者预览版中提供。

http://developer.android.com/preview/api-overview.html#apk_signature_v2

无法完全避免APK文件的反向工程。为了保护应用程序资产和资源，可以使用加密。

加密将使其在不解密的情况下更难使用。选择一些强大的加密算法将使破解更加困难。在主逻辑中添加一些欺骗代码，使其更难破解。如果你能用任何一种母语编写你的关键逻辑，那么反编译肯定会更加困难。使用任何第三方安全框架，如Quixxi

如果你的应用程序如此敏感，那么你应该考虑服务器端的支付处理部分。尝试更改付款处理算法。使用Android应用程序仅用于收集和显示用户信息（即账户余额），而不是在Java代码中处理付款，请使用带有加密参数的安全SSL协议将此任务发送到您的服务器。创建一个完全加密和安全的API来与服务器通信。

当然，它也可能被黑客入侵，它与源代码保护无关，但考虑到它是另一个安全层，使黑客更难欺骗你的应用程序。

此处同意@Muhammad Saqib：https://stackoverflow.com/a/46183706/2496464

@Mumair提供了良好的开始步骤：https://stackoverflow.com/a/35411378/474330

假设您分发到用户设备的所有内容都属于用户，这总是安全的。简单明了。你也许可以使用最新的工具和程序来加密你的知识产权，但没有办法阻止一个有决心的人“研究”你的系统。即使目前的技术可能会让他们很难获得不需要的访问权限，明天，甚至下一个小时，可能会有一些简单的方法！

因此，方程式如下：

说到钱，我们总是认为客户是不可信的。

即使在游戏内经济这么简单的情况下。（尤其是在游戏中！那里有更多“老练”的用户，漏洞在几秒钟内就扩散了！）

我们如何保持安全？

大多数（如果不是全部）关键处理系统（当然还有数据库）都位于服务器端。客户端和服务器之间存在加密通信、验证等。这就是瘦客户端的概念。

工具：在应用程序中使用ProGuard，可以限制其对应用程序进行反向工程

我可以看出这个问题有很好的答案。除此之外，您可以使用FacebookReDex来优化代码。ReDex在.dex级别工作，而ProGuard在.class级别工作。

在Android中，源代码和资源的100%安全是不可能的。但是，你可以让逆向工程师有点困难。您可以在以下链接中找到有关此的更多详细信息：

访问安全保存常量值以及针对应用程序开发人员的移动应用程序安全最佳实践。

我知道一些银行应用程序正在使用DexGuard，它提供了类、字符串、资产、资源文件和本地库的混淆和加密。