我应该使用ProGuard吗？

Question

我想在Android Studio中生成已签名的APK,它为我提供了运行ProGuard的选项.它要求我给出配置文件路径,但我没有配置文件.如何创建一个？我应该使用ProGuard吗？您是否可以轻松解压不使用ProGuard的APK文件？

编辑:谢谢你的答案,但我无法在任何地方找到proguard.cfg文件.我在项目的根目录中只有属性文件是local.properties文件,当我在Android Studio中打开它时,我得到了这个:

# This file is automatically generated by Android Studio.
# Do not modify this file -- YOUR CHANGES WILL BE ERASED!
#
# This file must *NOT* be checked into Version Control Systems,
# as it contains information specific to your local configuration.

# Location of the SDK. This is only used by Gradle.
# For customization when using a Version Control System, please read the
# header note.
sdk.dir=C:/.../...

Answer 1

对Android应用程序进行逆向工程很容易,所以如果你想防止这种情况发生,是的,你应该使用ProGuard来实现它的主要功能:混淆.

ProGuard还有另外两个重要功能:缩小功能,可以消除未使用的代码,显然非常有用,也可以进行优化.然而,优化使用Java字节码进行操作,并且由于Android运行在从Java字节码转换的Dalvik字节码上,因此某些优化将无法正常工作.所以你应该小心.

有关于如何使用proguard的说明 Android的网站上.你需要检查的主要事情是你有线

proguard.config=${sdk.dir}/tools/proguard/proguard-android.txt:proguard-project.txt

在你的project.properties文件中.由于您提到您使用的是Android Studio并且没有此文件,但系统会询问您有关配置文件的信息,请尝试选择Android SDK(tools/proguard/proguard-android.txt)中的文件.

Answer 2

使用ProGuard是可选的,无论您是否使用它,都可以轻松解压apk并获取资源(图形和其他资源).如果您不使用ProGuard,应用程序代码也可以很容易地重建,使用ProGuard,尝试理解在哪里发生的事情变得非常困难和麻烦(尽管不是不可能给予足够的时间和精力).

在混淆之后要小心测试你的应用程序,因为它是对应用程序的改变,有时会发生意外的事情,特别是如果oyu使用反射很多.

Answer 3

进行ProGuard混淆的一个重要案例是,一些坏人解包apk 并向他们注入/替换购买模块.我们不能指望所有用户只能从Play商店下载apk,并且用户可以窃取他们的购买帐户.