🔒 安全审计报告（2026-10-10）— 整体良好，4 项发现 #4

New Issue

maya · 2026-10-10T02:27:53+08:00

maya commented

2026-10-10 02:27:53 +08:00

审计结论：整体安全工程意识强，未发现恶意回传或硬编码密钥

✅ 做得好的：Keystore AES-256-GCM 凭据存储（自实现，正确）；allowBackup=false；全网禁明文仅放行自更新 IP；硬编码密钥扫描零命中；签名密钥走 GitHub Secrets + env 注入缺失即报错；日志不进系统、WebView 回调只记参数名不记 token；无 addJavascriptInterface，注入脚本带 nonce+域名白名单；多账号凭据隔离 + revision 版本控制 + 指纹防串号。

⚠️ 发现 4 项（详见关联 issue）：

🟠 自更新链路走明文 HTTP + IP 直连 → 见 #2
🟡 Trae deviceId 明文 SharedPreferences → 见 #3
🟡 auto_checkin 等状态明文 SharedPreferences → 见 #4
🟢 依赖非公开逆向接口 + 多账号自动签到风控风险 → 见 #5

审计方式：静态代码审计（浅克隆读源码），未做动态取证。
审计范围：凭据存储/网络基线/硬编码扫描/CI-CD/日志卫生/WebView/多账号隔离。

（本 issue 挂完整报告原文，供长期留档）

## 审计结论：整体安全工程意识强，未发现恶意回传或硬编码密钥 **✅ 做得好的**：Keystore AES-256-GCM 凭据存储（自实现，正确）；`allowBackup=false`；全网禁明文仅放行自更新 IP；硬编码密钥扫描零命中；签名密钥走 GitHub Secrets + env 注入缺失即报错；日志不进系统、WebView 回调只记参数名不记 token；无 `addJavascriptInterface`，注入脚本带 nonce+域名白名单；多账号凭据隔离 + revision 版本控制 + 指纹防串号。 **⚠️ 发现 4 项（详见关联 issue）**： 1. 🟠 自更新链路走明文 HTTP + IP 直连 → 见 #2 2. 🟡 Trae deviceId 明文 SharedPreferences → 见 #3 3. 🟡 auto_checkin 等状态明文 SharedPreferences → 见 #4 4. 🟢 依赖非公开逆向接口 + 多账号自动签到风控风险 → 见 #5 **审计方式**：静态代码审计（浅克隆读源码），未做动态取证。 **审计范围**：凭据存储/网络基线/硬编码扫描/CI-CD/日志卫生/WebView/多账号隔离。 --- （本 issue 挂完整报告原文，供长期留档）

maya closed this issue

2026-10-10 02:32:13 +08:00

Sign in to join this conversation.

No Label

No Milestone

No project

No Assignees

1 Participants

Notifications

Due Date

The due date is invalid or out of range. Please use the format 'yyyy-mm-dd'.

No due date set.

Dependencies

No dependencies set.

Reference: maya/Rainytoken#4