打开360加固保官网（jiagu.360.cn），加固官网首页最显眼的加固官网位置挂着“免费加固”的入口。这个页面设计不算精致，加固官网甚至有点工具站的加固官网老派味道，但每天有大量Android开发者在这里上传APK。加固官网原因很简单——国内应用加固市场里，加固官网360加固保的加固官网占有率长期排在前列，尤其在中低端机型和小型开发团队中渗透率极高。加固官网

加固这件事，加固官网说白了就是加固官网给APK穿一层铠甲。开发者写完代码打包成APK，加固官网直接扔到应用市场，加固官网很容易被人反编译。加固官网用apktool一拆，加固官网smali代码清清楚楚，加固官网改个广告位、植入恶意模块、二次打包上传，原开发者可能完全不知情。360加固的做法是：接收你上传的APK，在云端做DEX混淆、SO加密、资源文件保护，再生成一个加固后的包。重新签名的环节由开发者自己完成，因为签名密钥不能交给任何第三方。

官网的功能分区很直接。“加固服务”是核心入口，支持上传不超过一定体积的APK文件。免费版提供基础加固能力，包括DEX文件保护、资源混淆、反调试检测。付费版本叫“企业版”，增加SO库加密、高级反调试、H5文件保护等。价格页面上没有公开标价，需要联系商务，这在国内安全服务里是常见做法。

我拿一个自己写的小工具APK试过免费加固流程。上传后大约等了两三分钟，页面提示加固完成，下载回来的包体积比原来大了将近一倍。用jadx反编译加固后的DEX，核心业务逻辑确实看不到了，替换成了native层的调用指令。不过加固不是万能的，运行时内存dump依然有办法拿到解密后的代码，只是门槛从“随便一个脚本小子”提高到了“需要一定逆向功底的人”。

官网还有一个“加固文档”板块，内容不算丰富但够用。里面提到了兼容性注意事项，比如加固后可能影响热修复框架、某些反射调用会失败。这些问题在实际使用中确实会遇到。我见过一个案例：某社交App用了加固后，第三方推送SDK的反射逻辑失效，导致部分机型收不到推送。排查了半天才发现是加固工具对反射调用做了拦截。所以加固之后的全量回归测试不能省。

360加固保的官网还集成了“签名工具”和“渠道包”功能。签名工具支持V1和V2签名方案，渠道包则是一键生成多个带不同渠道标识的APK，方便统计各应用市场的下载量。这两个功能对国内开发者来说很实用，因为国内应用市场碎片化严重，手动打渠道包效率太低。

有一点值得单独说：官网的“安全报告”页面会展示加固后的APK检测结果，包括病毒扫描、漏洞检测、权限分析。这个报告的数据来自360自己的安全引擎，准确性尚可，但不要当成唯一标准。我对比过某APK在360加固保和Virustotal上的扫描结果，前者报了一个“隐私权限风险”，后者没有任何引擎报毒。这种差异很正常，各家引擎的规则库不同。

从技术角度看，360加固保的核心竞争力在于它的DEX保护方案。早期版本用的是整体加密，运行时在内存中解密整个DEX，这种方式容易被内存抓取。后来升级到“指令抽取”方案，把每个方法的指令片段抽出来，运行时按需解密。逆向难度大幅提升。不过这种方案对性能有轻微影响，冷启动时间可能增加几十到几百毫秒，具体取决于App的方法数量。

官网的UI风格多年没大改，蓝白配色，功能按钮堆在首页。这种“不折腾”的设计反而降低了学习成本。开发者不需要看教程就能找到上传入口。相比某些安全厂商把官网做成产品展示厅、实际入口藏得很深，360加固保的做法更务实。

如果你是一个独立开发者，或者小团队没有专门的安全人员，360加固保的免费版值得一试。它不能让你高枕无忧，但至少能把大部分低级攻击挡在门外。加固之后记得做完整的回归测试，尤其是涉及反射、JNI调用、热修复的功能模块。安全从来不是免费的，要么花时间，要么花钱，要么两者都花。