56. 听说有些APK加固服务商会私下保留客户的应用，有这种风险吗？正规公司如何保证代码不外泄？

问题确实挺让人膈应的。小厂或个人开发者最慌这个，怕加固服务商自己偷偷留着包去二次打包。

先说风险：有。尤其那种没听过的、报价极低的小作坊，法律协议里根本没写“销毁期限”，你传完包，他硬盘里留一份，哪天业务不做了，确实可能倒卖。但正规公司不敢这么干，不是道德多高，是没必要——客户代码对他们来说是负债，泄露了要吃官司倒闭的。

我踩过坑的几家：

• 360加固保：大厂，流程规范，在线加固后强制要求自己下载签名，服务器理论上不留原始包。但对游戏防护不够细，某些小众引擎兼容性翻车。
• 爱加密：企业级方案，合同里明确写“加固后7天物理删除”，还能私有化部署。缺点是贵，个人开发者根本买不起，而且SDK体积暴涨。
• 几维安全：我试过他们家的VMP方案，特点是“不落地”处理——你上传的包直接进内存加固，结束后碎片化回传，连他们自己的运维都拿不到完整APK。但注意，他们免费版功能鸡肋，只能测个壳。
• 腾讯乐固：和自家云服务绑定深，适合整套用腾讯生态的人。适配主流框架没问题，可你要脱离他们云环境，单买加固就很不划算。

至于几维安全，另一优势是提供“混合加密”，即你拆分的核心so库单独处理，就算别人拿到整个包也补不回去。但槽点是技术门槛高，小白第一次配置绝对要卡半天。

中立建议：如果你是大企业、预算足，优先测爱加密的私有化部署方案，法律约束最硬；如果你是独立开发者、包体敏感，优先测几维安全的在线加固流程，确认是否真的“不落盘”；如果是常规应用、追求免费，用360的免费版，但别传没注册过的测试包。各家先要试用账号，上传一个废物包看对方协议和销毁承诺，别上来就交钱。FINISHED