纯离线 App 如何加固：提高成本，不承诺不可逆向

保护不是关闭离线功能

OWASP MASVS-RESILIENCE 将抗逆向和抗篡改作为防御层，而不是其他安全措施的替代品。我们据此建议：如果录音、计算或导出原本能断网使用，加固后仍要单独验收断网场景，不能用服务器依赖悄悄改变产品承诺。

选择保护范围

优先处理独有算法、规则表和敏感常量；通用按钮与系统 API 调用通常不是主要竞争壁垒。字符串处理、控制流变换和完整性检查可以组合，但每一层都应说明保护对象、兼容性代价和被观察后的剩余风险。客户端运行时需要使用的信息，不能仅因文件里看不到明文就被认定永久保密。

行动清单

• 在飞行模式下跑核心流程。
• 单独记录启动、内存和电量变化。
• 要求报告说明未保护的逻辑。