具体描述
本书是一本系统讲解Android应用开发安全的书籍。它首先介绍了Android系统的架构和安全机制，然后详细说明了Android应用中存在的安全风险，并提出如何实现相应的安全控制以保护用户的私密信息。同时，本书还深入讲解了数据加密、认证技术以及企业级安全等概念。通过本书的介绍，希望读者能够了解如何鉴别哪些是敏感数据、如何使用Android API保证数据的机密性和完整性、如何构建企业级安全的应用以及如何实现客户/服务端应用之间数据管理与传输的安全性等。
本书适用于Android应用开发人员、设计人员、测试人员、架构师、项目经理、安全咨询顾问等，是一本实用的讲解Android应用安全的教材和使用手册。
作者简介
Sheran Gunasekera是一名拥有13年信息安全经验的安全研究人员和软件开发者。他是ZenConsult Pte.公司的研发主管，负责个人计算机和移动设备平台的安全研究。Sheran一直积极致力于BlackBerry和移动Java的研究，并且是揭露首个企业认可的恶意应用内部工作原理的白皮书的作者，这些恶意软件被部署在阿联酋电信运营商签约用户的移动设备上。他曾在中东、欧洲和亚太地区的安全会议上发表演讲，提供有关针对移动设备的恶意软件分析，以及针对Web和移动设备的安全软件开发的培训。他还在其有关安全的博客上撰写并发表文章（http://chirashi.zenconsult.net）。
目录信息
1.1 Android架构的组件 3
1.1.1 内核 4
1.1.2 类库 5
1.1.3 Dalvik虚拟机 5
1.1.4 应用程序框架 6
1.1.5 应用程序 8
1.2 这本书是关于什么的 9
1.3 安全 9
1.3.1 保护用户 10
1.3.2 安全风险 10
1.4 Android安全架构 12
1.4.1 特权分离 12
1.4.2 权限 13
1.4.3 应用程序代码签名 14
1.5 总结 14
第2章 信息：应用的基础 16
2.1 保护你的应用免受攻击 17
2.1.1 间接攻击 17
2.1.2 直接攻击 19
2.2 项目1：“Proxim”和数据存储 19
2.3 信息分类 27
2.3.1 什么是个人信息 29
2.3.2 什么是敏感信息 29
2.4 代码分析 29
2.4.1 实施加密 30
2.4.2 加密结果 32
2.5 重构项目1 33
2.6 练习 35
2.7 总结 36
第3章 Android安全架构 37
3.1 重温系统架构 38
3.2 理解权限架构 40
3.2.1 Content Provider 41
3.2.2 Intent 46
3.3 权限检查 47
3.3.1 使用自定义权限 48
3.3.2 保护级别 49
3.3.3 自定义权限的示例代码 50
3.4 总结 53
第4章 动手实践（第一部分） 55
4.1 Proxim应用 56
4.2 总结 64
第5章 数据存储和密码学 65
5.1 公钥基础设施（PKI） 67
5.2 密码学中用到的术语 70
5.3 手机应用中的密码学 71
5.3.1 对称加密算法 72
5.3.2 密钥生成 73
5.3.3 数据填充 74
5.3.4 分组密码的几种模式 75
5.4 Android系统中的数据存储 80
5.4.1 用户数据共享 81
5.4.2 内部存储 84
5.4.3 SQLite数据库 87
5.5 加密的数据存储 93
5.6 总结 101
第6章 对话Web应用 103
6.1 搭建环境 105
6.2 HTML、Web应用和Web服务 113
6.2.1 Web应用的组成 115
6.2.2 Web应用用到的技术 117
6.3 OWASP与Web攻击 124
6.4 认证技术 126
6.4.1 自签名证书 131
6.4.2 中间人攻击 132
6.4.3 OAuth 134
6.4.4 加密的挑战/应答 143
6.5 总结 143
第7章 企业级应用开发安全 144
7.1 安全的连接 145
7.2 企业应用程序 147
7.3 手机中间件 147
7.3.1 数据库访问 149
7.3.2 数据表示 155
7.4 总结 162
第8章 动手实践（第二部分） 163
8.1 OAuth 164
8.1.1 获得令牌 165
8.1.2 处理授权 166
8.2 挑战与应答 178
8.3 总结 193
第9章 发布和出售你的应用 194
9.1 开发人员注册 195
9.2 你的应用处在暴露中 197
9.2.1 可供下载的资源 198
9.2.2 逆向工程 202
9.3 应该进行许可验证吗 208
9.4 Android许可验证库 208
9.4.1 下载Google API Add-On 215
9.4.2 复制LVL文件至单独目录 217
9.4.3 导入LVL源文件作为一个Library项目 217
9.4.4 在应用中构建和引入LVL 222
9.5 许可策略 229
9.6 有效利用LVL 231
9.7 模糊处理 233
9.8 总结 236
第10章 恶意软件和间谍软件 238
10.1 恶意软件的四个阶段 240
10.1.1 感染 240
10.1.2 破坏 240
10.1.3 传播 241
10.1.4 泄露 241
10.2 案例学习1：政府批准的恶意软件 241
10.2.1 感染 242
10.2.2 破坏 243
10.2.3 传播 243
10.2.4 泄露 243
10.2.5 检测 244
10.3 案例学习2: 零售恶意软件——FlexiSPY 246
10.4 反取证 248
10.5 总结 250
附录A Android权限常量 252
附录B 如何使用Apache Wink创建RESTful Web Services 262
· · · · · · (收起)
读后感
不得不说，这是本翻译极其拗口，内容已经过时的安全类书籍。 因此，相对其59元的售价而言，性价比极低！ 而且还是2013年出版的，这是作者用来刷简历的么？ 王文君，董欢欢，这两个名字记住了！
不得不说，这是本翻译极其拗口，内容已经过时的安全类书籍。 因此，相对其59元的售价而言，性价比极低！ 而且还是2013年出版的，这是作者用来刷简历的么？ 王文君，董欢欢，这两个名字记住了！
不得不说，这是本翻译极其拗口，内容已经过时的安全类书籍。 因此，相对其59元的售价而言，性价比极低！ 而且还是2013年出版的，这是作者用来刷简历的么？ 王文君，董欢欢，这两个名字记住了！
不得不说，这是本翻译极其拗口，内容已经过时的安全类书籍。 因此，相对其59元的售价而言，性价比极低！ 而且还是2013年出版的，这是作者用来刷简历的么？ 王文君，董欢欢，这两个名字记住了！
不得不说，这是本翻译极其拗口，内容已经过时的安全类书籍。 因此，相对其59元的售价而言，性价比极低！ 而且还是2013年出版的，这是作者用来刷简历的么？ 王文君，董欢欢，这两个名字记住了！
用户评价
与其他市面上那些侧重于介绍工具或扫描器的书籍不同，这本书真正做到了深入到技术实现的“里子”。它不是那种告诉你“用这个工具就能搞定”的速成手册，而是深入剖析了底层机制。比如，在讨论数据传输安全时，作者对加密算法的选择和实现细节的考量，远远超出了标准的教程范畴，它探讨了性能与安全之间的微妙平衡点，这种深度的权衡分析，对于构建企业级应用来说至关重要。我是一个追求“Why”胜过“How”的人，而这本书恰恰满足了我的求知欲。它不仅告诉你“应该做什么”，更重要的是解释了“为什么非这样做不可”。这种底层逻辑的阐述，使得我能够灵活应对未来不断出现的新的安全威胁，而不是死守一套过时的防御模板。阅读这本书的过程，更像是参加了一场高水平的、针对性极强的技术研讨会，收获的不仅仅是知识，更是一种严谨的科学态度。
这本书的装帧设计真是让人眼前一亮，那种沉稳的深蓝色调配上简洁有力的字体，一下子就抓住了我的注意力。我当时在书店里漫无目的地闲逛，原本也没打算买技术类的书，结果翻开目录，瞬间就被那种系统的结构感给吸引住了。虽然我对移动开发领域接触不算少，但总感觉在安全防护这块总是差了那么临门一脚，总觉得缺少一个权威的、能让我安心遵循的指南。这本书的内容排版非常考究，图文并茂的处理方式让那些复杂的概念变得清晰易懂，特别是那些流程图和代码示例的配比，简直是教科书级别的示范。我尤其欣赏作者在介绍基础概念时所展现出的那种耐心和深度，绝非那种浅尝辄止的“速成”读物能比拟的。它更像是一位经验丰富的前辈，带着你一步步走进一个全新的、充满挑战但又极具技术魅力的世界。读完前几章，我立刻就有种“相见恨晚”的感觉，感觉自己过去在安全实践中遇到的那些模糊不清的角落，似乎一下子都有了清晰的脉络和解决的方向。这本书的厚度也让人放心，一看就知道是下了真功夫、包含了大量实战经验的结晶，而不是市面上那些东拼西凑的“面子工程”书籍。
说实话，我本来对技术书的阅读体验预期不高，很多时候都是为了应付工作或者学习任务而“啃”下来的，过程枯燥乏味。但拿到这本后，阅读过程居然成了一种享受。作者的叙事风格非常独特，他不是在堆砌晦涩难懂的专业术语，而是更像是在讲述一个关于如何构建坚固堡垒的故事。每一个安全漏洞的剖析，都像是在侦查一起复杂的案件，从案发现场（代码缺陷）到作案手法（攻击路径），再到最后的布防策略（防御机制），逻辑链条环环相扣，读起来酣畅淋漓，丝毫没有那种枯燥的理论灌输感。我发现自己经常会因为一个精彩的论述而停下来，反复琢磨其中的精妙之处，甚至会联想到自己过去项目中遇到的类似问题，并且立刻尝试用书中的思路去重新审视和优化。这种即时的、能产生实践反馈的阅读体验，是很多同类书籍所不具备的，也正是我最看重的。它不是教你记住一堆规则，而是训练你的“安全思维”，让你在未来的开发工作中能主动预见风险，而不是被动打补丁。
从个人职业成长的角度来看，这本书的价值是不可估量的。我过去在面试或者项目评审中，经常会在安全问题上被问到一些边界情况的处理，常常因为回答不够全面或深度不足而显得底气不足。现在我感觉自己掌握了一整套扎实且有深度的知识体系。它提供了一种全局观，让我能从架构设计之初就嵌入安全思维，而不是等到测试阶段才被动打补丁，这直接影响了项目的质量和交付速度。而且，书中的语言风格虽然专业，却保持了一种令人信服的谦逊感，没有那种高高在上的说教意味。它更像是邀请你一起探索安全领域的复杂性和美感。我甚至发现，由于理解了更深层次的安全原理，我在调试一些性能问题时，也能更快地定位到可能是安全机制导致的开销，提高了排查效率。总而言之，这本书是那种你会希望同事也去读，但又有点“私藏”起来，生怕别人轻易掌握的宝贵资源。它绝对是技术书架上不可或缺的镇店之宝。
我是一个对细节有偏执要求的技术人员，对那些只停留在理论层面、缺乏实操指导的书籍总是嗤之以鼻。这本书在这一点上做得极其出色。我记得有一章节详细拆解了某个特定组件的安全实现，从底层API调用到上层业务逻辑的安全校验，作者展示了完整的、可复现的攻击和防御代码片段。这对我来说太重要了——只有亲眼看到攻击是如何发生的，才能真正理解防御的必要性和有效性。那些详细的配置清单和最佳实践总结，完全可以直接拿来作为我团队的安全规范文档。更值得一提的是，书中对一些新兴的安全挑战也有所涉猎，并没有局限于已知的旧问题，这显示出作者紧跟行业前沿的研究动态。坦率地说，很多我们团队内部经过大量摸索才得出的一些安全经验，在这本书里竟然能找到系统化的总结和更深层次的理论支撑，这极大地提升了我对自身技术栈的信心。
这本书适合大二开始自己做app的同学看
这书70%内容和安全毫无关系。。大段大段的无关代码粘贴 大章大章的无关内容
这书70%内容和安全毫无关系。。大段大段的无关代码粘贴 大章大章的无关内容
这本书适合大二开始自己做app的同学看
这本书适合大二开始自己做app的同学看
