1、代码保护方案
1.1、Proguard代码混淆
ProGuard是一个开源的Java代码收缩器，优化器，混淆器和预校验器，ProGuard的作用如下：
（1）压缩(Shrink):检查并移除代码中无用的类、字段、方法；
（2）优化(Optimize):对字节码进行优化，移除无用的指令；
（3）混淆(Obfuscate):使用a,b,c,d这样简短而无意义的名称，对类、字段和方法进行重命名；
（4）预检(Preverify):在Java平台上对处理后的代码进行预检；
经过Proguard处理后的程序逻辑与之前完全一致，而混淆后的代码即便反编译也很难阅读。同时，在混淆过程中对于一些不影响正常运行的信息将永久丢失，这些信息的丢失使得程序更加难以理解。Proguard代码混淆并不能完全避免反编译，经过apktool、dexToJar、jd-gui等反编译工具依然能得到大部分源码。
1.2、Dex加壳
加固方案
1.源APK文件存放在壳APK的资源目录asset下；
2.使用DexClassLoader动态加载源APK，并运行；
步骤如下：
1、重写Application
默认情况一个android 应用程序启动一个默认的Application 对象， 我们需要在壳apk启动时动态加载源apk。因此我们需要重写Application的attachBaseContext或者onCreate，在其中加载源apk。
2、释放资源中源APK到目标目录下
在Application的attachBaseContext或者onCreate中拷贝asset中的源apk到目标目录下。
3、在壳apk中通过DexClassLoader加载源apk并运行目标activity，同时销毁壳apk中的activity
@Override
protected void onCreate(Bundle savedInstanceState) {
super.onCreate(savedInstanceState);
String dexPath = "";
String optimizedDirectory = "";
String librarySearchPath = "";
ClassLoader parent = getClassLoader();
DexClassLoader dexClassLoader = new DexClassLoader(dexPath,optimizedDirectory,librarySearchPath,parent);
try {
//启动源apk中的目标activity
Class desActivity = dexClassLoader.loadClass("destination.destActivity");
Intent intent = new Intent(this,desActivity);
startActivity(intent);
//销毁壳apk中的activity
finish();
} catch (ClassNotFoundException e) {
e.printStackTrace();
}
}1.3、虚拟机源码保护
虚机源码保护为用户提供一套完整的工具链，首先把用户待保护的核心代码编译成中间的二进制文件，随后生成独特的虚机源码保护执行环境和只能在该环境下执行的运行程序。
虚机源码保护会在App内部隔离出独立的执行环境，该核心代码的运行程序在此独立的执行环境里运行。即便App本身被破解，这部分核心代码仍然不可见。
2、反调试方案
2.1、Debug#isDebuggerConnected是否有调试器挂载到程序上
/**
* Determine if a debugger is currently attached.
*/
public static boolean isDebuggerConnected() {
return VMDebug.isDebuggerConnected();
}isDebuggerConnected函数用于检测此刻是否有调试器挂载到程序上，如果返回值为true则表示此刻被调试中。
if (Debug.isDebuggerConnected()){
android.os.Process.killProcess(android.os.Process.myPid());
}2.2、AndroidManifest.xml清单文件中加入android:debuggable="false"属性，使程序不能被调试
2.3、APK签名检测
Android SDK中有apk 签名检测的方法，Framework的PackageManager类提供了getPackageInfo()函数，
第二个参数传入GET_SIGNATURES时，返回对象的signature字段就是签名信息，计算其hash值，前后对比hash值。实际可用的两种方案：
（1）在本地Java代码里进行校验，不一致则强退应用；
（2）把签名信息发到服务器后台，服务器后台记录着正确的签名信息，比对后不一致则返回一个错误给错误
