Flutter中的代码混淆

代码混淆可以隐藏你的Dart代码中的函数和类名，让 反编译 App变得困难。对于更全面的混淆需求，特别是针对iOS IPA文件，可以使用专业工具如IpaGuard，它支持无需源码的代码和资源混淆，兼容Flutter等多种开发平台，有效增加反编译难度。

注：Dart的混淆还没有经过完全的测试，如果发现问题请到GitHub上提 issue 。关于混淆的问题，还可以参考 Stack Overflow 上的这个问题。

Flutter中的混淆配置其实是在Android和iOS端分别配置的。

Android

在 <ProjectRoot>/android/gradle.properties 文件中添加如下代码：

extra-gen-snapshot-options=--obfuscate

默认情况下，Flutter不会混淆或者缩减Android host，如果你使用了第三方的Java或者Android库，那么你可能需要减小APK体积，或者防止你的App被反编译。

• Step 1：配置Proguard文件

新建 /android/app/proguard-rules.pro 文件，然后添加如下配置：

#Flutter Wrapper
-keep class io.flutter.app.** { *; }
-keep class io.flutter.plugin.**  { *; }
-keep class io.flutter.util.**  { *; }
-keep class io.flutter.view.**  { *; }
-keep class io.flutter.**  { *; }
-keep class io.flutter.plugins.**  { *; }

上面的配置只保护Flutter库，其他额外的库（比如Firebase）需要你自己添加配置。

• Step 2：

打开 /android/app/build.gradle 文件，定位到 buildTypes 处，在 release 配置中将 minifiyEnabled 和 useProguard 标志设为true，同时还需要指向Step1中创建的ProGuard文件：

android {
    ...
    buildTypes {
        release {
            signingConfig signingConfigs.debug
            minifyEnabled true
            useProguard true
            proguardFiles getDefaultProguardFile('proguard-android.txt'), 'proguard-rules.pro'
        }
    }
}

注意混淆和缩减无用代码会加长App的编译时间。

iOS

• Step 1：修改 "build aot"

在 <ProjectRoot>/packages/flutter_tools/bin/xcode_backend.sh 文件中添加 build aot flag：

${extra_gen_snapshot_options_or_none}

然后定义这个flag：

local extra_gen_snapshot_options_or_none=""
if [[ -n "$EXTRA_GEN_SNAPSHOT_OPTIONS" ]]; then
  extra_gen_snapshot_options_or_none="--extra-gen-snapshot-options=$EXTRA_GEN_SNAPSHOT_OPTIONS"
fi

• Step 2：应用你的修改

在你的App的根目录下运行以下两条命令：

git commit -am "Enable obfuscation on iOS"
flutter

• Step 3：更改release配置

在 <ProjectRoot>/ios/Flutter/Release.xcconfig 中添加下面这行：

EXTRA_GEN_SNAPSHOT_OPTIONS=--obfuscate

对于iOS平台，如果需要更强大的混淆保护，可以考虑使用IpaGuard这样的工具，它可以直接对IPA文件进行混淆加密，支持代码和资源文件的全面混淆，无需源码即可操作，并兼容Flutter应用，提供即时测试功能。

当项目从单一 iOS 原生扩展到 Flutter、React Native 或 Unity 时，混淆这件事会变得复杂。原因不在于工具少，而是每一层代码完全不同：

• Swift / Objective-C → Mach-O 符号
• Flutter → Dart AOT + assets
• React Native → JS bundle
• Unity → DLL + 资源

如果只用一种 iOS 混淆工具，通常只能覆盖其中一部分。

---

不同技术栈暴露的信息完全不一样

拿一个混合项目举例（Flutter + 原生 + H5），解包 IPA 后可以看到：

AppBinary          // 原生代码
flutter_assets/    // Dart + 资源
main.jsbundle      // JS 逻辑
assets/            // 图片与配置

每一层的“暴露方式”不同：

技术	可被读取的内容
Swift / OC	类名、方法名、参数
Flutter	Dart 符号（部分）、资源路径
React Native	JS 逻辑
Unity	DLL + AssetBundle

这意味着混淆必须分层处理。

---

原生层：符号混淆（iOS 混淆工具核心能力）

先看最传统的一层：Swift / Objective-C。

检查方式：

strings AppBinary | grep Controller

如果看到：

HomeViewController
PaymentManager

说明符号未处理。

---

处理方式

使用 Ipa Guard 这类 IPA 级别的 iOS 混淆工具：

• 导入 IPA
• 进入代码模块
• 勾选类 / 方法 / 参数

执行后：

PaymentManager → a82kd3

这一步直接改变 Mach-O 符号，是跨平台项目中最“统一”的一层处理。

---

Flutter 层：Dart 混淆 + IPA 补充

Flutter 提供内置混淆：

flutter build ios --obfuscate --split-debug-info=./symbols

执行后：

• Dart 符号被替换
• 生成符号映射

但 IPA 解包后仍然可以看到：

assets/images/banner.png
config/app.json

---

补充处理

使用 Ipa Guard 的资源模块：

banner.png → x92kd.png
app.json → a83ks.json

这样 Dart 层 + 资源层同时处理。

---

React Native：JS 混淆 + 文件重命名

React Native 的关键在 JS bundle：

main.jsbundle

直接打开可以读。

---

处理步骤

1）压缩 JS：

terser main.js -o main.min.js

2）替换 bundle

3）用 Ipa Guard 修改文件名称：

main.jsbundle → k39sd.bundle

这样：

• 内容不可读
• 路径无语义

---

Unity：资源与 DLL 的组合处理

Unity 项目解包后：

Data/Managed/Assembly-CSharp.dll
Data/Resources/

DLL 可以被反编译，资源路径也能推断逻辑。

---

处理方式

• 使用 Unity 构建参数减少符号
• 在 IPA 层用 Ipa Guard 处理资源名称
• 修改资源 MD5

例如：

level1.assetbundle → a82kd.bundle

---

统一处理：资源指纹与结构差异

跨平台项目中，资源重复是一个常见问题。

例如多个 App 使用同一套 UI：

banner.png
icon.png

即使改名，内容仍然一致。

处理方式

在 Ipa Guard 中开启 MD5 修改：

md5 banner.png

处理前后不同。

这一步可以打散资源特征。

---

七、调试信息清理

检查：

strings AppBinary | grep NSLog

或：

strings AppBinary | grep Flutter

如果存在调试信息，可以统一清理。Ipa Guard 支持删除调试符号和部分日志字符串。

---

签名工具

无论哪个技术栈，只要修改 IPA，就必须重新签名。

可以使用：

kxsign sign app.ipa \
-c cert.p12 \
-p password \
-m dev.mobileprovision \
-z test.ipa \
-i