### ① 组件是什么 APK 是一个 ZIP 归档。安装包内同时携带三类载体：资源目录 res 下编译期拼好的字符串与配置；DEX 字节码（classes.dex 及多 dex 分包）；JNI 原生库 .so（ELF 格式）。 硬编码密钥与敏感信息，就散落在这三类载体里。 类别包括：云服务 AK/SK（对象存储、推送、地图、统计等第三方 SDK 的访问凭证）；接口签名密钥与加解密密钥；后端服务基地址与完整接口路径；内网域名与内网 IP 段；写死的管理员令牌或调试账号；证书与私钥。 这些材料在打包期被编译进归档，随安装包到达每一台终端。 安装包本身可被任何持有安装文件的主体获得。因此前端载体天然不具备保密性——密钥放进包内等于公开张贴。混淆、加壳、字符串加密都只是抬高读取成本，不改变「"材料最终会进入终端可触达范围"」这一事实。 判定这类暴露，先分两类，严重度不同，不能混为一谈。 第一类，随包发布的第三方公开标识（如地图 SDK 的公开 appid 与配额 key），按厂商配额策略评估。 第二类，服务端可自行签发的 AK/SK、签名密钥、私钥，按泄露即可直接冒用评估。