上周我 app 用户群来了一位不速之客，发了一张图片 我一看，我艹，这不被破解了嘛。 随即我踢了他，然后当天下午加了他 wx ，他同意了。 整个聊天过程没有急眼，他还表明破解的这个包没有流传出去。 因为那个人只愿出几十块钱，他肯定不会成交的，纯试试水，就破了。 从聊天记录我总结出以下几点： 1：他不懂安卓代码，纯靠几个工具 [其中有 MT 管理器[狗东西，开发者天敌]] 就能快速重签打包，我在 Java 和 cpp 中有几个签名验证的埋点，他依然能打包，并正常运行。 2：我的 app 核心功能要用到安装包中的本地带密 zip ，解压密码由后台配置信息接口返回，每个版本的安装包中的 zip 解压密码都不一致，所以我故意改了后台配置信息接口中的密码，他破解的老包功能依然正常使用，我轻描淡写问了他，他说就一个工具就能搞定。 3：他还能破包后加卡密弹窗，说这是基操。视频链接： https://m.okjike.com/originalPosts/69493b881cc9bc8e54a2608d?s=eyJ1IjoiNjM1Nzg4ZjM0N2RkNjRhN2Y3Y2RiMTk0In0%3D 经过几天的 v 站查帖和看 B 站视频，我知道业务逻辑在本地是无法完全防破解的，只是有几点疑问。 1：加卡密弹窗的云注入平台为爱发电？就没人投诉吗？ 2：他破解的包为什么不受后端动态解压密码控制?如果绕过校检本地如何解压成功呢？