中小团队APP加固选型清单，5个维度快速筛掉不靠谱的

初创团队选加固，最大的痛点不是“哪家技术最强”，而是时间耗不起、预算经不起坑、试错成本太高。市面上十几家加固厂商，挨个调研少说两周，还可能踩进合同陷阱。我用自己的踩坑经历，总结了一套5步快速筛选法，帮你用1-2天时间筛掉80%的不靠谱选项，直接锁定价位合适的2-3家进入POC测试。

第一步：资质查证——先排雷，别给“小作坊”交学费

做什么：查厂商的成立时间、注册资本、客户案例真实性。

验证要点：

• 成立时间是否超过3年（安全行业淘汰率高，2018-2020年消失了一批小厂商）
• 官网上能否查到金融/政务/游戏等敏感行业的真实客户案例（不是“某知名银行”这种模糊表述）
• 是否有上市公司背景或知名机构投资

淘汰标准：

• 成立不满2年，直接pass（技术积累和生存能力都存疑）
• 官网案例全是“某客户”“某公司”，没有任何可查证的品牌露出
• 查不到公司主体信息，只有个人微信/QQ联系方式

快速操作：打开“天眼查”或“企查查”，搜公司全称，看成立时间和参保人数。参保人数低于20人的安全公司，谨慎对待——安全产品需要持续的攻防研究投入，人太少意味着引擎迭代可能跟不上。

第二步：案例核实——找“同类”问真实体验

做什么：要求厂商提供1-2个和你同赛道的客户案例，直接打电话过去问。

验证要点：

• “你们用了多久？出现过兼容性问题吗？”
• “被破解过吗？厂商响应速度怎么样？”
• “合同里的价格和后来实际支出有没有差异？”

淘汰标准：

• 厂商无法提供同赛道付费客户（说明没有商业化验证）
• 提供的案例联系人无法接通或拒绝沟通
• 同行反馈“加固后闪退率明显上升”“客服响应慢”

快速操作：去MT论坛、看雪论坛等技术社区，搜索“XX加固 问题/闪退/脱壳”，看看真实用户怎么评价。有开发者已经整理了27种加固厂商的特征识别数据，包括脱壳难度评级，这些都是公开的社区反馈，值得参考。

第三步：技术演示——让销售“现场跑”给你看

做什么：要求销售或售前工程师现场演示加固流程，用你的测试包（不是他们的demo）跑一遍。

验证要点：

• 加固操作是否支持私有化部署或本地化工具（有些厂商必须上传到云端，存在代码泄露风险）
• 加固后能否用Jadx、GDA等反编译工具验证效果——核心类应该看不到业务逻辑代码
• 是否支持SO库单独加固、资源文件加密、防二次打包等基础能力

淘汰标准：

• 销售只会念PPT，安排不了技术人员对接
• 加固后用Jadx打开，核心代码还能看到类名和方法名（只有混淆，没做虚拟化或编译级加密）
• 加固流程需要把未签名的APK上传到厂商公网后台（中小团队的核心代码也是资产，慎传）

技术分级速查（来自实测经验）：

• 基础级：代码混淆（OLLVM）——Jadx打开能看到逻辑，只是变量名变成abc
• 进阶级：DEX加壳/函数抽取——有经验的攻击者用Frida可脱壳
• 顶尖级：代码虚拟化/Java2C编译加密——反编译后看到的是虚拟机指令集，真实逻辑不可读

中小团队怎么选：如果APP涉及金融交易、核心算法、用户隐私数据，至少选进阶级，最好到虚拟化级别。纯工具类、展示类APP，基础混淆也可能够用。

第四步：合同预审——避开5个隐藏扣费坑

做什么：拿到报价单和合同模板，重点看费用构成和服务条款。

验证要点（逐条核对）：

• 报价是按次、按年、还是按APP数量？
• 有无“渠道加固费”“年度升级费”“超出次数加价”？
• 合同里是否写明SLA响应时间（如7×24小时，紧急事件1小时内响应）？
• 有无破解赔付/兜底条款？（多数厂商不写，但可以谈）
• 续费价格是否锁定，还是“届时按市场价调整”？

淘汰标准：

• 合同里写着“服务商不对服务使用后果承担任何责任”这类免责条款（顶象等厂商的用户协议中常见此类表述）
• 口头承诺“我们技术很强不会有事”，但拒绝写入合同
• 报价单出现“基础版xxx元/年，高级加固另计”“SO加固单独收费”等拆分收费项

合同谈判话术：可以要求加入“若加固后APP被第三方确认成功脱壳，厂商应在X个工作日内免费提供修复方案”条款。虽然多数厂商不会赔钱，但把脱壳判定标准写清楚，能避免扯皮。

第五步：小批量测试——把真实场景跑一遍

做什么：用小范围灰度或测试环境，跑1-2个加固后的包，对比加固前后的性能和数据。

验证要点：

• 启动耗时：用Android Studio Profiler对比加固前后的冷启动时间，记录差值
• 兼容性：在不同品牌（华为、小米、OPPO、vivo）、不同Android版本（9-14）的真机上跑，记录闪退率
• 渠道过审：把加固包提交到华为、小米、Google Play，看是否触发警告或拒审

淘汰标准：

• 启动时间增加超过20%或绝对值超过1秒（用户对启动慢敏感）
• 测试机型闪退率超过3%
• 应用商店提示“加固过度”“疑似恶意软件”等警告

实测参考数据：几维安全实测启动损耗3-5%，梆梆安全约12-18%，爱加密约8-12%。但注意，这个数据和你的代码结构、加固策略强相关，必须用你自己的包测，不要轻信厂商给的“典型数据”。

附：5步筛选法一页纸速查表

最后提醒：中小团队预算有限，不一定要选“最强”的，但要选“最适合当前阶段”的——核心模块用虚拟化级加固，边缘模块用基础混淆，组合方案性价比最高。但千万别为了省钱裸奔，你被扒一次壳的损失，远大于加固的年费。