Me gustaría saber si hay alguna forma de evitar por completo la
ingeniería inversa e impedir que a través de la apk puedan acceder al
código fuente, tanto para evitar copias como por algunos datos como
keys de APIs.
En realidad no existe hasta el día de hoy un método infalible para evitar la ingeniería inversa, puedes usar proguard para realizar una ofuscación de tu código.
Pero para "esconder" información sensible como es el caso de las API Key
, puedes guardar estos valores en tu archivo gradle.properties
para que no se puedan obtener por ingeniería inversa, esto es recomendado por Google:
Lo correcto en Android para esconder información sensible, es definir esta información dentro de tu archivo gradle.properties, ejemplo:
SECRET_CLIENT_API_KEY=key=AIzaSyJorgeSysIsCoOlaeB12GSET-U
SECRET_TOKEN_API_KEY=key=AIzaS12JorgeSysIsCoOlsauPrOsTaeB12GSET-U
y definir la referencia de estos valores dentro del archivo app/build.gradle:
android {
...
...
defaultConfig {
...
...
...
//Defined in gradle.properties
buildConfigField "String", "SECRET_CLIENT_API_KEY", "\"$SECRET_CLIENT_API_KEY\""
buildConfigField "String", "SECRET_TOKEN_API_KEY", "\"$SECRET_TOKEN_API_KEY\""
}
}
al generar tu proyecto se generará la clase BuildConfig que contendrá los valores y que podrás asignar a tu aplicación al realizar la compilación, y estos no se podrán obtener mediante ingeniería inversa.
//Obtiene valores escondidos.
val myApiKey = BuildConfig.SECRET_TOKEN_API_KEY
val mySecretToken = BuildConfig.SECRET_TOKEN_API_KEY
revisa esta respuesta
Se puede guardar información privada en una carpeta assets en android al momento de crear una app