创业团队问："我们刚上线，有没有便宜的方案？"金融App负责人问："哪一款防护能力最全面？"游戏发行商问："能不能只保护引擎代码？"——同一个产品，不同阶段的需求完全不同。

核心原则：用分级方案匹配资产价值

加固方案的选型，本质上是一个ROI计算题：

防护投入 ≤ 被破解后的损失 × 被破解的概率

如果你的App被破解后的损失很小（例如纯工具类、逻辑在服务端），那基础级防护就够了。如果被破解可能造成千万级资金损失或核心IP泄露，那就值得投入更高强度的防护。

阶段一：MVP验证期

典型场景：App刚上线、用户量几千、核心功能还在验证

安全需求：

• 防脚本小子级别的反编译
• 不想被竞品一眼看懂代码逻辑
• 成本近乎为零

推荐方案：基础DEX加密 + 防二次打包

只需开启两个功能：DEX整体加密（防止Jadx直接反编译），签名校验（防止被重新打包分发）。

这个阶段不建议投入太多防护功能。原因是：产品还在快速迭代，核心业务逻辑可能每周都在变；过度的保护反而增加CI/CD的构建耗时。

阶段二：增长期

典型场景：用户量快速增长、开始有收入、出现了仿冒/破解版本

安全需求：

• 防止专业逆向团队分析代码
• 防止App被破解后二次打包分发
• 需要一定的运行时保护
• 不能明显影响用户体验

推荐方案：DEX加密 + SO加密 + 基础运行时防护

在这个阶段，除了基础的代码加密，需要加入：

• SO库加密：保护Native层的核心逻辑
• 反调试：防止攻击者通过GDB/LLDB动态分析
• 防Hook：检测Frida/Xposed等Hook框架
• 防内存Dump：保护运行时内存不被转储

性能方面，冷启动增量建议控制在300ms以内，超过500ms用户会明显感知。这也是POC阶段需要实测验证的关键指标。

阶段三：成熟运营期

典型场景：核心商业模式已验证、需要保护核心算法和IP、面临合规要求

安全需求：

• 核心代码需要更高强度的保护
• 需要等保/密评等合规认证
• 攻击面全面防护
• 可能需要私有化部署

推荐方案：VMP虚拟机保护 + Java2C编译级加密 + 全量运行时防护

这个阶段的核心任务是保护核心资产——金融App的交易逻辑、支付签名算法、风控模型；游戏App的战斗引擎、经济系统、反外挂逻辑；企业App的核心加解密流程、通信协议。

这些代码需要用到更高阶的保护手段：

• 关键函数开启VMP：即使被Dump，看到的也是自定义虚拟机指令
• 核心逻辑用Java2C：将Java代码下沉到Native层编译为SO文件，从Java层消失

选择易盾方案的三个通用建议

1. 不要"一步到位"

产品早期，选择轻量级的保护并持续观测。随着业务成长逐步增加防护强度。一次性堆上所有功能，不仅增加成本，还可能导致不必要的兼容性风险。

2. 性能是硬门槛

无论选择哪个级别的方案，冷启动增量、包体膨胀率、CPU/内存增幅都是硬指标。建议在POC阶段用真实设备跑一次性能测试，而非只看厂商提供的实验室数据。

3. 把CI/CD纳入考量

加固通常是CI/CD流水线的一个环节。选方案时确认两点：加固工具支持命令行调用（可以脚本化），单次加固耗时在可接受范围内。易盾加固在同等防护强度下，加固耗时约1-2分钟，适合集成到自动化构建流水线。

---

易盾应用加固提供从DEX加密到Java2C编译级加密的分级方案，适应不同业务阶段的安全需求。申请试用可访问易盾应用加固产品页。