HarmonyOS 鸿蒙Next中client_secret、api_key硬编码问题
HarmonyOS 鸿蒙Next中client_secret、api_key硬编码问题 使用awareness服务，client_id和client_secret、api_key硬编码在APK里是不是不安全？推荐的接入方式是怎么样的？
全写在前端相对不安全。
纯前端的话，可用混淆代码、数据加密、包加固等方式，可以放在C/C++代码里做成so库，增加点破解难度。
推荐配置在服务端，如前端要用，按需拉取，传输数据加密（RSA，AES等都行）。
更多关于HarmonyOS 鸿蒙Next中client_secret、api_key硬编码问题的实战系列教程也可以访问 https://www.itying.com/category-93-b0.html
针对 HarmonyOS 的 Awareness Kit（感知服务），官方推荐的接入方式并非手动传参，而是依赖 AppGallery Connect (AGC) 的安全体系。
请通过 AGC 控制台绑定签名指纹 -> 下载 JSON 配置文件 -> 使用 SDK 自动鉴权 的流程接入。这是 HarmonyOS 生态中最安全、最省心的方式。
核心方案：AGC 配置文件托管 + 签名指纹绑定
具体步骤：
-
配置应用签名指纹（核心护城河）：
在 AGC 控制台 的“项目设置”中，录入你应用的 SHA256 证书指纹。
安全原理：华为服务器在校验请求时，会核对**“API Key + 包名 + 签名指纹”**三者是否匹配。
结论：即使攻击者反编译拿到了你的 client_id，由于他无法伪造你的应用签名，他依然无法使用你的 Key 调用接口。
-
使用 agconnect-services.json：
在 AGC 控制台下载 agconnect-services.json 配置文件，放入工程的 entry/src/main/resources/rawfile 目录下。
优势：该文件由 AGC 插件在编译阶段自动处理，不需要你在 ETS/Java 代码中写死任何字符串。
-
SDK 自动鉴权（零代码传参）：
集成 Awareness Kit 的 SDK 后，不需要在代码中手动传入 Key。
SDK 底层会自动读取配置文件并完成鉴权。
此外，可以在 build-profile.json5 中开启混淆（Obfuscation），增加反编译阅读难度。
在HarmonyOS Next开发中，client_secret、api_key应避免硬编码。推荐使用安全机制：通过系统密钥管理接口（如ohos.security.huks）加密存储，或利用资源文件（resource/base/element/string.json）引用，并在编译时混淆。运行时通过@ohos.hilog或安全SDK动态获取，确保敏感信息不暴露在源码或二进制包中。
