在android中使用JDBC安全吗？

Question

我已经有很长一段时间了，但我还没有找到答案。我有一个MySQL数据库，我希望通过使用JDBC将我的android应用程序连接到它。问题是它有多安全。在使用准备好的语句和转义所有内容时，SQL注入不是问题，但是，如果应用程序被破解，源代码被解压缩，潜在的黑客能看到连接参数，如数据库链接、用户名和密码吗？

在安卓设备上使用JDBC是安全的，还是不安全的？

如果没有，您认为什么是连接到MySQL数据库的最安全的方法，或者webservice仍然是目前最好的选择？

Answer 1

在你的应用程序中硬编码凭证是个很糟糕的主意，因为如果一个人对这个问题有一定的了解，实际上会尝试破解你的应用程序，如果你的应用程序管理一些金融敏感数据，他们实际上会尝试三倍的努力。

就安全性而言，在这种体系结构中，似乎最适合这种事务的是非对称加密算法，因为每次需要加密消息的公钥时，您都可以硬编码/下载，并且它们只能由服务器端使用私钥解密。

我建议使用带有TLS加密的web服务，它不会是100%安全的，但至少它会使事情变得更难破解。

• How to securely share key between two remote devices?
• How dangerous might be publishing a public key?

Answer 2

在移动电话的情况下，没有完美的接收，所以当用户在良好的接收中进出时，您会收到掉话和丢失的数据。

JDBC协议的设计并不是为了处理在移动环境中发生的完全/部分断开连接，尤其是在查询过程中。另一方面，HTTP至少允许您在自己的重试机制中设计，因为失败的HTTP请求只是失败的HTTP请求，而不是从网络层/JDBC驱动程序中冒出来的异常。