Flutter应用完整性校验插件app_integrity_checker的使用

app_integrity_checker

Flutter插件，用于验证应用程序的完整性并在运行时检测是否被篡改。

对于iOS，部分完整性检查基于IOSSecuritySuite。

开始使用

安装

可以通过以下命令安装：

$ flutter pub add app_integrity_checker

或者在pubspec.yaml文件中添加依赖项：

dependencies:
  app_integrity_checker: ^1.0.5

平台配置

• Android：无需额外配置。
• iOS：无需额外配置。

使用方法

以下是基本的使用示例：

import 'package:app_integrity_checker/app_integrity_checker.dart';

// 获取应用的Checksum值（SHA256）
String checksum = await AppIntegrityChecker.getchecksum() ?? "checksum retrieval failed";     
// 获取应用的签名值（SHA256）
String signature = await AppIntegrityChecker.getsignature() ?? "signature retrieval failed";  

输出说明

Android输出

• Checksum (SHA-256)：此值基于原生代码的校验和，不包括Dart代码。建议与应用签名一起使用，例如将校验和值与应用签名在服务器端进行验证。该值会在每次构建时发生变化，如果对原生代码进行了修改或篡改。
• Signature (SHA-256)：此值基于应用签名证书，如果签名证书被更改或篡改（如反编译后重新编译代码或更换发布/调试证书），该值会改变。只要使用相同的签名证书，该值不会随每次构建而变化。

iOS输出

• Checksum (SHA-256)：对于物理iOS设备，输出一个24字符的字符串；对于模拟器或非Arm64架构设备，仅前8个字符有效。
  • 前8个字符：Dart代码的校验和。可能会随着每次构建而变化，如果Dart代码被篡改也会变化。
  • 中间8个字符：原生Swift代码的校验和（仅限Arm64）。如果对原生代码进行了修改或篡改，该值会变化。
  • 后8个字符：IOSSecuritySuite库的校验和（仅限Arm64）。如果对IOSSecuritySuite库进行了修改或篡改，该值会变化。
  • 根据需求可以选择使用部分或全部校验和值。
• Signature (SHA-256)：此值基于应用代码签名，当上传到App Store时，由于苹果会替换开发者证书并使用自己的证书进行代码签名，该值会发生变化。根据需求适当使用。

示例代码

下面是一个完整的示例，展示了如何在Flutter应用中集成app_integrity_checker插件，并显示应用的Checksum和签名信息。

import 'package:flutter/material.dart';
import 'dart:async';
import 'package:flutter/services.dart';
import 'package:app_integrity_checker/app_integrity_checker.dart';

void main() {
  runApp(const MyApp());
}

class MyApp extends StatefulWidget {
  const MyApp({super.key});

  @override
  State<MyApp> createState() => _MyAppState();
}

class _MyAppState extends State<MyApp> with WidgetsBindingObserver {
  String _checksum = "";
  String _signature = "";

  @override
  void initState() {
    super.initState();
    initPlatformState();
    WidgetsBinding.instance.addObserver(this);
  }

  @override
  void dispose() {
    WidgetsBinding.instance.removeObserver(this);
    super.dispose();
  }

  @override
  void didChangeAppLifecycleState(AppLifecycleState state) {
    switch (state) {
      case AppLifecycleState.resumed:
        initPlatformState();
        break;
      case AppLifecycleState.paused:
      case AppLifecycleState.inactive:
      case AppLifecycleState.detached:
      case AppLifecycleState.hidden:
        break;
    }
  }

  // Platform messages are asynchronous, so we initialize in an async method.
  Future<void> initPlatformState() async {
    String checksum = "";
    String signature = "";
    // Platform messages may fail, so we use a try/catch PlatformException.
    // We also handle the message potentially returning null.
    try {
      checksum = await AppIntegrityChecker.getchecksum() ??
          "checksum retrieval failed";
      signature = await AppIntegrityChecker.getsignature() ??
          "signature retrieval failed";
    } on PlatformException {
      //platform call failed
    }

    // If the widget was removed from the tree while the asynchronous platform
    // message was in flight, we want to discard the reply rather than calling
    // setState to update our non-existent appearance.
    if (!mounted) return;

    setState(() {
      _checksum = checksum;
      _signature = signature;
    });
  }

  @override
  Widget build(BuildContext context) {
    return MaterialApp(
      home: Scaffold(
        appBar: AppBar(
          title: const Text('Plugin example app'),
        ),
        body: Column(children: [
          Center(
            child: Column(
              mainAxisAlignment: MainAxisAlignment.center,
              crossAxisAlignment: CrossAxisAlignment.center,
              children: [
                const SizedBox(height: 150),
                const Text('App Checksum Value'),
                const SizedBox(height: 10),
                Text('$_checksum\n'),
                const SizedBox(height: 20),
                const Text('App Signature Value'),
                const SizedBox(height: 10),
                Text('$_signature\n'),
              ],
            ),
          )
        ]),
      ),
    );
  }
}

这个示例代码创建了一个简单的Flutter应用程序，它在启动时以及每次应用从后台恢复时获取并显示应用的Checksum和签名信息。通过这种方式，您可以确保应用的完整性和安全性。