모바일 어플리케이션 민감한 key .env 로 관리해도 충분할까요?

Question

현재 React-native 를 사용해서 어플을 개발하고 있는데요.배포 전 중요 key를 어떻게 관리해야 할지 감이 잘 안옵니다...제가 사용 해야 하는 key들이 총 2가지가 있는데요 GOOGLE_WEB_CLIENT_ID&#61; LoginScreen.js에서 Firebase Auth를 위한 Google 로그인에 사용.FLASK_SERVER_URL &#61; RN 코드에 포함되어 클라이언트와 서버 간 통신에 사용.이렇게 입니다 .일단 이 두 코드가 많이 민감한 코드인지도 조금 헷갈리긴 한데 만약에 노출 되었을 떄 충분히 악용이 가능한 키 들이라고 생각해서 안전하게 관리하고 싶습니다 .하지만 코드 구조상 둘 다 RN 코드에 포함되어야 한다고 생각해서 RN에 포함시켜야 하는데 그냥 .env 파일로 관리해서 어플리케이션 빌드 해도 괜찮을까요 ?제가 알기론 .env 파일은 배포할 때 포함되지 않는걸로 알고 있습니다 .하지만 디컴파일 하면 key 볼 수도 있다고 하는데 어차피 개인 개발이고 하니 디컴파일 당할 일도 없을 것 같고 혹시 노출된다고 해도 FLASK 서버 측에서 JWT나 firebase auth 토큰을 사용해서 클라이언트와 통신하게 서버를 해놓으면 괜찮지 않을까 생각이 들기도 합니다..근데 서버 URL 보안 관리는 어떻게 감이 오는데 GOOGLE_WEB_CLIENT_ID 는 어떻게 보안 설정을 해야 할까요 ?이건 감이 잘 안오네요 firebase auth 설정에서 특정 도메인을 지정해놓으면 괜찮은걸까요 ?

ansdbduf · Answer

RN코드에 포함되어야한다는 생각을 버리세요. 해당 key들은 서버측에 보관하세요

안 드루이드 · Answer

배포할 땐 포함되고 깃에 안 올라가는 걸 말씀하시는 걸까요? apk에는 당연히 포함되구요 apk미러링 사이트에서 받고 디컴파일하면 쉽게 노출되긴 합니다.그런데 파베라면 sha1이나 sha256 해시를 입력하기 때문에 딱히 뭘 할 수는 없습니다.

모바일 어플리케이션 민감한 key .env 로 관리해도 충분할까요?

2개의 답변

Q&A 목록