MobSF 4.5.2：字符串分析开始识别常见密钥格式

当天发生了什么

2026-08-10 06:20（UTC），移动安全框架 MobSF 在 GitHub 发布了 v4.5.2。发布说明列出的功能改进包括：Android 证书分析改用 build-tools 37.0.0 中的 apksigner，并支持 apktool 3.x，以便在不同版本间更可靠地解析证书；Android 与 iOS 的字符串分析新增对高置信度已知密钥格式的识别，列举了 GitHub、Slack、Stripe、OpenAI 令牌以及 PEM 密钥；VirusTotal 集成迁移到 API v3，支持最大 650MB 的上传；以及 CI 与 Docker 的供应链加固，例如 SBOM 证明、通过 OIDC Trusted Publishing 发布到 PyPI。缺陷修复包括 SAML 单点登录时的 CSRF「null origin」错误，以及 getSharedPreferences 模式参数匹配规则的修正。发布说明没有单列安全修复。

对保护应用逻辑的人意味着什么

这次改动最值得开发者注意的是密钥识别。它意味着任何人用这个开源工具扫描一个 APK 或 IPA，常见服务的令牌和 PEM 私钥会被自动标出来，不再需要人工翻找字符串。对越来越多直接在客户端调用大模型 API 的应用来说，嵌入的 API 密钥已经成了默认会被发现的问题。也要看清它的边界：它只覆盖高置信度的已知格式，扫描结果为空并不代表应用里没有秘密；而把密钥拆分、编码或混淆后再拼接，只会让静态扫描找不到，运行时密钥仍然会以明文形式出现在内存或网络请求中。正确的做法不是躲过扫描器，而是不在客户端放可被滥用的密钥。

可以落地的检查

第一，在 CI 中对自己的发布版 APK 和 IPA 运行 MobSF 或同类扫描，把密钥类发现设为阻断项。第二，对已经发布过的版本也补扫一次，凡是被标出的密钥一律视为已泄露并轮换。第三，把对第三方 AI 服务和支付服务的调用改为经由自己的后端代理，客户端只持有可撤销、权限受限的会话凭据。第四，核对扫描报告中的签名证书信息是否与预期的发布证书一致，及时发现签名配置被误改的情况。每次发布都保留扫描报告，以便日后说明当时检查了什么、何时检查。

行动清单

• 在 CI 中扫描自家发布包并把密钥发现设为阻断
• 补扫已发布版本，被标出的密钥一律轮换
• 第三方 AI 与支付调用改由自家后端代理
• 核对报告中的签名证书与预期发布证书一致