如何在应用程序的二进制文件中存储一个秘密的API密钥？
我正在创build一个Mac OS X的Twitter客户端，我有一个消费者的秘密。 这是我的理解，我不应该分享这个秘密钥匙。 问题是，当我把它作为一个string文字到我的应用程序，并使用它，如下所示：
#define QQTwitterConsumerSecret @"MYSECRETYOUMAYNOTKNOW" [[QQTwitterEngine alloc] initWithConsumerKey:QQTwitterConsumerKey consumerSecret:QQTwitterConsumerSecret]; 它在我的应用程序的二进制文件的数据部分。 黑客可以阅读这个，反汇编应用程序，等等。
是否有任何安全的方式来存储消费者的秘密？ 我应该encryption吗？
没有真正完美的解决scheme。 不pipe你做什么，专心致志的人都能偷走它。
即使Twitter的iPhone / iPad的/安卓/ mac /等。 有一个秘密钥匙，他们可能只是模糊了它。
例如，你可以把它分解成不同的文件或string等
注意：使用hex编辑器，你可以在二进制文件中读取asciistring，这是最简单的方法。 通过将其分解成不同的部分或使用函数调用来创build密钥通常会使该过程更加困难。
你可以对它进行64位编码来混淆它。 或者，更好的主意， 生成密钥，而不是只存储它 – 写这样的东西：
char key[100]; ++key[0]; ... ; ++key[0]; // increment as many times as necessary to get the ascii code of the first character // ... and so on, you get the idea.
然而，一个非常好的黑客无论如何都会发现它; 唯一能够真正保护他人眼睛的方法是使用安全的哈希函数，但是这样你也不能检索它:)
您不应该在不能在您的服务器上运行的应用程序中使用秘密api密钥。
即使它完全隐藏..你总是可以窥探通过电线的数据。 而且，由于这是您的设备，您甚至可以篡改SSL（中间的人员使用由设备的可信CA列表添加的自定义CA创build的证书）。 或者，您可以在实际encryption之前挂钩到SSL库中以截获数据。
一个真正迟到的答案…
如果你设置了自己的服务器，你可以使用它来帮助你的桌面应用程序获得用户在Twitter上授权而不共享（即：embedded）你的密钥。
你可以使用这种方法：
当用户安装你的桌面应用程序，她必须注册与Twitter和您的服务器*）*）应用程序要求服务器生成令牌请求的URL *）服务器发送生成的URL到应用程序*）该应用程序指示用户到授权URL *）用户在Twitter上授权您的应用程序，并将生成的PIN码粘贴到其中*）使用您的应用程序的PIN获取令牌*）所有进一步的通信使用令牌，不涉及您的服务器
注意：应用程序使用您的服务器的用户凭据（例如：id和密码）login到您的服务器。
