flutter_sec

🐍 FlutterSec - Flutter 应用安全扫描工具

FlutterSec 是一个使用 Go 编写的命令行工具，用于扫描 Flutter 打包后的 APK 文件中的安全风险。它通过调用 apktool 解包 APK，并静态分析如 AndroidManifest.xml 的安全配置。

✨ 功能亮点

✅ 解包 Flutter APK（基于 apktool）
✅ 分析 AndroidManifest.xml：
- 是否设置 android:debuggable="true"
- 是否允许 allowBackup="true"
- 是否允许明文通信 usesCleartextTraffic="true"
🛠️ 后续可扩展模块：
- 敏感信息字符串扫描（如 apiKey、token）
- 签名证书分析（是否是 debug key）
- Flutter obfuscation 检查
- 输出 Markdown/HTML 报告

🚀 快速开始

✅ 安装依赖

确保你本地已安装：

brew install apktool go

或使用其他方式安装 apktool：https://ibotpeaches.github.io/Apktool/install/

✅ 克隆项目

git clone https://github.com/ctkqiang/flutter_sec.git

或

git clone https://gitcode.com/ctkqiang_sr/flutter_sec.git

cd flutter_sec

✅ 构建工具

go build -o fluttersec

✅ 扫描 APK

./fluttersec scan ./path/to/your.apk

✅ 示例输出

📦 开始解包 APK： ./example.apk
📦 使用 apktool 解包中...
✅ 解包成功，路径: /tmp/fluttersec_decompiled

🔎 开始分析 AndroidManifest.xml ...
⚠️  Manifest 第 12 行包含 `debuggable=true`
⚠️  Manifest 第 22 行包含 `usesCleartextTraffic=true`
✅ Manifest 分析完成

📁 项目结构说明

fluttersec/
├── main.go                    // 程序入口
├── go.mod                     // Go 依赖管理
├── cmd/                       // 命令注册
│   ├── root.go
│   └── scan.go
├── internal/apk/             // APK 分析逻辑
│   ├── decompile.go
│   └── manifest.go