1. 外部数据安全
外部存储通常是指将数据存储到设备中SD卡上。
由于存储到存储，外部存储是一种不安全的数据存储机制SD默认提供卡上的文件others其他安装在设备上的文件权限App只要在其AndroidMenifest.xml声明如下句子。
那么该App有对SD卡的完整读写权限意味着一个App放在SD卡上的任何数据都可以是其他数据App因此，重要数据存储在读写操作中SD卡上有相当大的安全隐患。
2. 内部数据安全
内部数据存储主要分为两种方式：SharedPreference存储和File存储。内部数据存储的安全问题主要是创建模式和文件中写入的内容。
SharedPreference 存储是一种基于 的轻量级数据存储模式XML 文件存储Key-Value键值对数据，通常用于存储一些简单的配置信息。
File存储即常文件（I/O）存储 *** 通常用于存储大量数据。
内部数据存储通常更安全，因为它们可以接受Android保护系统的安全机制。
Android本质上，安全机制是Linux系统的安全机制是Android每一个操作系统App创建一个过程并分配一个过程UID。Android系统将是每一个App创建特定目录/data/data/app_package_name，该目录只有权限UID只有相关的UID只有相关用户才有该目录的相关权限。
因此，在相应的目录下生成SharedPreference文件与File文件如果以正确的方式去创建将会受到Android保护系统权限机制。
创建文件的正确 *** ，SharedPreference文件创建模式主要有以下三种。
MODE_PRIVATE：默认创建模式，过程 UID 相应的用户将有权完全控制文件，而其他用户将有权UID的用户将没有权限去读/写文件。
MODE_WORLD_WRITABLE：该权限将允许设备上的所有设备App有权写文件。
MODE_WORLD_READABLE：该权限将允许设备上的所有设备App有权阅读文件。
有以下建议，以确保内部数据的安全。
(1)创建文件时的权限控制
如果在创建文件时不注意控制权限，则文件的内容将被其他应用程序读取，导致用户相关信息泄露，SharedPreference在中间存储通常是免登的token、session id等待与用户身份密切相关的重要信息，因此，在创建时必须注意选择创建模式；免登token还必须具有及时性，否则与存储明文的用户名和密码无异。
（2）SharedPreference不要存储明文密码等重要信息
由于有Root存在，所以Root手机坏了Linux无论如何创建沙箱机制SharedPreference它们不再安全了。如果存储用户的明确密码，用户的密码将泄露。因此，不要去SharedPreference写入任何重要的无时效数据。
3. 通信数据安全
这里的通信数据安全是指软件与软件、软件与 *** 服务器之间的数据通信造成的安全问题。
软件与软件的通信，Android有4大组件：Activity、Content Provider、Service、Broadcast Receiver。
这些如果在Androidmanifest.xml其他应用程序会调用配置不当，造成风险。Android应用内部的Activity、Service、Broadcast Receiver等等，他们通过Intent通信需要组件之间的通信Androidmanifest.xml组件暴露在文件中。
Intent两种基本用法:一种是显式Intent，即在构造Intent指定接收者；另一个是隐藏的Intent，即Intent构造中的发送者Intent当对象不知道或不关心接收者是谁时，它有助于减少发送者和接收者之间的耦合。
恶意调用、恶意接收数据、假应用、恶意发送广播、启动应用服务、调用组件、接收组件返回数据、拦截有序广播等风险。
一般有以下保护手段。
(1)最小化组件暴露
添加不参与跨应用调用的组件android:exported="false"属性表明它是私有的，只有同一应用程序的组件或同一用户ID应用程序可以启动或绑定服务。
（2）设置组件访问权限
组件或公共广播和服务设置权限参与跨应用调用。
① 组件添加android：permission属性。
② 声明属性
protectionLevel有4种级别：Normal、Dangerous、Signature、SignatureOrSystem。Signature、SignatureOrSystem只有在签名相同时才能调用等级。
③ 调用组件的声明
(3)检查暴露组件的代码
Android 提供各种 API 检查、执行、授予、授予和撤销权限。API 是android.content.Context部分类别，该类别提供应用程序环境的全球信息。
*** 数据通信可能面临的攻击是 *** 流量嗅探，如果 *** 上传的数据没有加密， *** 嗅探可以截获数据，ARP攻击可以很容易地嗅到帐户、密码等。HTTPS，HTTPS能有效防止数据暴露，防止第三方截获应用的通信数据。
Android中实现HTTPS基本上这两种方式，一种是不验证证书，另一种是有验证证书(防止钓鱼)。
第二种 *** 更复杂，需要cer证书转换成BKS类型。这种 *** 只能简单地防止钓鱼，而不能有效地防止钓鱼。防止钓鱼最终取决于用户区分，并通过正式渠道下载应用程序。应用程序证书还可以验证客户端。使用证书验证客户端是不合适的。如果使用证书验证客户端，证书必须存储在应用程序中或在使用时下载，Android都是应用APK文件很容易获得，如果是下载，更容易通过下载地址获得。如果您想验证客户端，请使用它so文件包装数据更好。