本年5月，谷歌在I/O大会上宣告，Kotlin编程言语成为其Android使用程序开发人员的首选言语。

Kotlin是一种面向现代多平台使用程序的编程言语，成为谷歌开发Android使用程序的首选言语后，许多开发人员逐渐地从Java转向Kotlin。根据最新的一项查询显现，有62%的开发人员运用Kotlin来构建移动使用程序，另有41%的开发人员运用Kotlin来构建Web后端项目。

而跟着Kotlin的呈现，越来越多的闻名组织愈加重视移动使用程序的安全性。最近由DHS与NIST联合的一项关于移动设备安全研讨发现，使用程序中的缝隙一般是没有遵循安全编码引起，这些缝隙会对用户的数据造成某种损害。

关于运用Kotlin开发人员来说，了解这门言语并了解移动使用程序的安全编码是非常重要的。以下是在运用Kotlin时遇到的一些常见缝隙：不安全数据存储Android生态体系为使用程序供给了几种存储数据的办法。开发人员运用的存储类型取决于几点：存储的数据类型、数据的运用以及数据是否应该坚持私有或与其他使用程序共享。而常见的编码过错是以明文存储敏感信息。例如，经常在使用程序运用的“SharedPreference”或数据库查找API暗码、暗码和PII(PersonallyIdentifiableInformation)，由于进犯者可以拜访使用程序的数据库(根设备、使用程序的备份等)，从而检索运用该使用的其他用户的凭证，这类忽略越来越多地导致重要数据丢失。

不安全通讯目前，大多数移动使用程序在某种程度上以client-server的方式交换数据，当进行通讯时，用户数据就会在移动运营商网络、或许某些WiFi网络和互联网之间进行传输。正是这个过程，进犯者就能利用其间的某个弱环节发起进犯。如果数据传输没有运用SSL/TLS加密，则进犯者不只可以监视以明文传输的通讯数据，而且还可以盗取交换的数据并执行中间人进犯。为了避免不安全的通讯，有必要始终把网络层认为是不安全的，并不断确保移动程序和后端服务器之间的所有通讯都是加密的。

不安全认证

移动设备中的输入机制，例如4-PIN码或许根据TouchID等特性的身份验证，都会导致移动使用程序的身份验证不安全且简单遭受进犯。除非有功用需求，不然移动使用程序不需要对其进行实时身份验证的后端服务器。即使存在这样的后端服务器，用户一般也不需要在任何时候都处于联机状态。这给移动使用的身份验证带来了巨大的应战，每当在本机进行身份验证时，就可以经过运行时操作或修正二进制文件来绕过已越狱设备上的身份验证。不安全的身份验证不只仅是猜出暗码、默许用户帐户或损坏数据。有时，可以绕过身份验证机制，体系无法识别用户并记录其(恶意)行为。

代码篡改

所谓的代码篡改指的是：在设备上下载一个使用程序后，该使用的代码和数据是存于该设备的。由于大多数使用程序是公共的，这导致进犯可以进行修正代码、操作内存内容、更改或替换体系API或许修正使用程序的数据和资源。为了避免代码篡改，重要的是移动使用程序可以在运行时检测到代码已被增加或更改。开发团队应该做出相应的举动，向服务器陈述代码抵触或许执行关机。

魔高一尺，道高一丈。技术总是不断发展，未来仍会露出出新的使用程序安全性缝隙，经过警惕一些编码过错，开发人员可以构建更安全的Android使用，避免掉入圈套。利用技术总是在不断发展；未来或许会根据或许露出新的使用程序篡改点的依赖关系发现新的缝隙。经过了解这些编码过错，开发人员可以构建更安全的Android使用程序，并躲开或许导致这些情况的圈套。