flutter如何进行app完整性校验

在Flutter开发中，如何实现App的完整性校验以防止被篡改或二次打包？具体有哪些方法可以检测APK或IPA文件的签名、资源完整性或代码篡改？是否需要依赖第三方库，或者Flutter自身提供了相关API？最好能提供示例代码或实现思路。

2 回复

Flutter中可通过package_info_plus获取应用版本，结合flutter_secure_storage存储校验值。在启动时与服务器API对比签名或哈希值，判断是否被篡改。也可使用平台原生代码进行更严格的校验。

更多关于flutter如何进行app完整性校验的实战系列教程也可以访问 https://www.itying.com/category-92-b0.html


在 Flutter 中进行应用完整性校验，通常用于检测应用是否被篡改或运行在非官方环境中。以下是常见的实现方法：

1. 检查应用签名

通过验证应用的签名哈希，确保应用来自官方发布渠道。

Android 示例：

import 'package:package_info_plus/package_info_plus.dart';
import 'package:signature/signature.dart';

Future<bool> verifySignature() async {
  PackageInfo packageInfo = await PackageInfo.fromPlatform();
  String packageName = packageInfo.packageName;
  
  // 获取签名哈希（需使用原生代码获取，此处为伪代码）
  String actualSignature = await getSignatureHash(); // 通过MethodChannel调用原生API
  
  // 与预存的官方签名对比
  String officialSignature = "YOUR_OFFICIAL_SIGNATURE_HASH";
  return actualSignature == officialSignature;
}

iOS 示例： iOS 需通过 Security 框架获取签名信息，通过 platform-channel 调用原生代码。

2. 校验应用完整性文件

在应用启动时检查关键文件的哈希值。

import 'dart:io';
import 'dart:convert';
import 'package:crypto/crypto.dart';

Future<bool> checkFileIntegrity() async {
  // 检查关键文件（如main.dart.js）
  File file = File('path/to/your/critical/file');
  if (!await file.exists()) return false;
  
  List<int> bytes = await file.readAsBytes();
  String fileHash = md5.convert(bytes).toString();
  
  // 与预存哈希对比
  String expectedHash = "EXPECTED_MD5_HASH";
  return fileHash == expectedHash;
}

3. 使用第三方服务

集成如 Google Play Integrity API（Android）或 DeviceCheck（iOS）进行更严格的验证。

Android（Play Integrity）： 通过 http 包调用 Google API 验证设备完整性。

4. 防止调试与篡改

  • 检测调试模式：
import 'dart:io';

bool isDebugMode() {
  bool isDebug = false;
  assert(() {
    isDebug = true;
    return true;
  }());
  return isDebug;
}
  • 使用混淆与代码保护工具（如 ProGuard/R8 for Android，代码混淆可增加反编译难度）。

注意事项：

  • 存储敏感信息（如签名哈希）需使用安全存储（如 Flutter Secure Storage）。
  • 定期更新校验逻辑，防止被绕过。
  • 结合后端验证，将校验结果发送到服务器进行二次验证。

通过组合以上方法，可有效提升应用的安全性。

回到顶部