16、日志与调试安全：日志泄露风险、ProGuard混淆、调试开关控制、发布前安全检查清单

日志和调试信息，说白了就是应用开发时的「小抄」。

我见过太多团队，开发时随手打日志，上线前忘了删。结果呢？数据库密码、Token、用户隐私，全被恶意应用或adb logcat抓走了。嗯，这可不是危言耸听。

日志泄露风险：你打印的每一行，都可能成为攻击者的突破口

Android的Logcat是全局可读的。只要你的应用有READ_LOGS权限（在旧版本Android上甚至不需要权限），任何应用都能读取你输出的日志。

我个人习惯把日志分为三类：

• 调试日志：开发时用，包含敏感信息。上线前必须移除。
• 业务日志：记录关键业务流程，但绝不包含密码、Token等。
• 异常日志：只记录错误堆栈，不附带用户数据。

我曾经接手过一个项目，开发者在登录接口里直接打印了Log.d("Login", "password: " + password)。上线后不到一周，就有用户反馈账号被盗。查了半天，原来是某个第三方SDK偷偷读取了Logcat。你说冤不冤？

ProGuard混淆：不只是压缩代码，更是保护你的「小秘密」

ProGuard很多人以为只是用来减小APK体积的。其实它还有一个更重要的作用——混淆代码。

混淆后的代码，类名、方法名、变量名都变成了a、b、c这样的无意义字符。攻击者反编译后，看到的是一堆天书。日志字符串虽然不会被混淆（字符串常量是明文），但至少让攻击者很难定位关键逻辑。

我建议的ProGuard配置：

# 保留日志工具类，方便线上排查（但不要输出敏感信息）
-keep class com.yourpackage.LogUtil { *; }

# 保留异常类，确保崩溃日志可读
-keep class * extends java.lang.Exception { *; }

# 移除所有Log.d和Log.v调用（发布版本）
-assumenosideeffects class android.util.Log {
    public static boolean isLoggable(java.lang.String, int);
    public static int v(...);
    public static int d(...);
}

# 保留Gson/Json序列化需要的类
-keepattributes Signature
-keep class com.google.gson.** { *; }

调试开关控制：别让「调试模式」成为你的后门

很多应用在开发阶段会开启调试模式，比如显示FPS、网络请求详情、数据库操作面板等。这些功能如果带到线上，就是活脱脱的后门。

我见过最离谱的案例：某个金融类应用，调试模式下直接显示「切换服务器地址」的按钮。攻击者只要把服务器地址改成自己的钓鱼服务器，所有用户的交易数据就全被截获了。

正确的做法：

• 使用BuildConfig.DEBUG控制调试功能开关
• 在Application的onCreate中检查签名，防止被二次打包
• 调试面板只在debuggable=true时显示

public class MyApplication extends Application {
    @Override
    public void onCreate() {
        super.onCreate();
        
        // 检查是否是正式签名
        if (!isReleaseSignature(this)) {
            // 签名不匹配，直接退出
            System.exit(0);
        }
        
        // 只在debug模式下初始化调试工具
        if (BuildConfig.DEBUG) {
            initDebugTools();
        }
    }
    
    private boolean isReleaseSignature(Context context) {
        // 验证APK签名是否与正式签名一致
        // 具体实现略
        return true;
    }
}

发布前安全检查清单：我每次上线前都会过一遍

做了这么多年Android，我总结了一份检查清单。每次发布前，我都会逐项确认：

检查项	具体内容	检查方法
日志清理	确认所有Log.d/Log.v调用已被移除或条件编译	全局搜索Log.d、Log.v、System.out
调试开关	确认android:debuggable="false"	检查AndroidManifest.xml
ProGuard配置	确认混淆已开启，且关键类未被意外保留	查看mapping.txt，检查是否还有可读的类名
签名校验	确认应用内做了签名校验	反编译APK，检查签名校验逻辑是否存在
网络请求	确认没有在URL或Header中硬编码敏感信息	抓包检查请求内容
数据库	确认数据库文件没有存储明文密码	导出db文件，查看表结构
WebView	确认关闭了JavaScript接口调试	检查WebView.setWebContentsDebuggingEnabled
第三方SDK	确认SDK没有开启调试模式	查看SDK文档，检查初始化参数

你想想看，如果这些检查项里有一项没通过，上线后出了问题，轻则被用户骂，重则被应用商店下架。我有个朋友就因为在WebView里忘了关调试，被Google Play直接下架了。嗯，那滋味可不好受。

知识体系总览

下面这张图，是我梳理的日志与调试安全的核心逻辑。你可以把它当作一个快速参考：

说白了，日志和调试安全就四个字：「上线前删」。但怎么删、删哪些、用什么工具删，这里面的门道可不少。希望今天的内容能帮你少踩几个坑。