### 資安驗證 L2 等級 **原生開發 vs Flutter** - 層次數位 [LABSPACE](https://shop.labspace.com.tw)

**APP資安驗證 L2 等級（例如台灣的 TAF/TWCA APP 應用安全 L2 或國際像 OWASP MASVS L2）**，以下是針對 **原生開發 vs Flutter** 建議：

---

## ✅ 推薦：**原生開發（Native Development）**

### 📌 原因如下：

| 項目 | 原生開發 (Swift/Kotlin) | Flutter |
|------|------------------------|---------|
| 🔒 資安控制力 | ✅ 更細緻控制系統 API、記憶體、檔案存取權限，能整合 MDM、防逆向等措施 | ⚠️ 對資安控制較受限，需透過 plugin 彌補或用 platform channel 呼叫原生 |
| 🧩 第三方 SDK 相容性 | ✅ 各大資安、支付、身分驗證 SDK 原生支援（如 TDES、TwCA、FIDO） | ❌ 有些 SDK 無支援 Flutter，需自己寫原生包裝或橋接 |
| 🔍 稽核透明度 | ✅ 可完整提供原始碼供稽核（靜態/動態掃描），也可精準管理敏感 API | ⚠️ Dart 層無法完全控制 native 行為，混合架構稽核較複雜 |
| 🔄 安全更新 | ✅ 更快整合 OS 的資安更新，與 iOS/Android 安全修補同步 | ⚠️ Flutter 更新需等 framework 支援，風險點增加 |
| 🔐 安全機制擴充 | ✅ 輕鬆實作 root/jailbreak 偵測、Code Obfuscation、防截圖等措施 | ⚠️ 有些功能需 native plugin，實作複雜且不易測試 |

---

## 🎯 建議開發策略（若資安為重點）：

| 類型 | 建議方式 |
|------|----------|
| 高資安需求（如金流、健康、個資、政府專案） | ✅ 原生開發（iOS：Swift，Android：Kotlin） |
| 資源有限但需跨平台 | Flutter + 關鍵模組原生開發（Hybrid with security modules in native） |
| 初期驗證 MVP，不涉及登入/個資 | Flutter 可快速開發，但需後續補強資安架構 |

---

## 🚨 L2 認證會要求的資安要點（部分）：

- 防逆向工程（程式混淆、code protection）
- Keychain / Keystore 安全儲存
- HTTPS + SSL pinning
- Root/Jailbreak 偵測
- 避免硬編碼憑證、API key
- 登入/註冊流程安全性設計（避免 token 曝露）
- 敏感資訊截圖保護
- 本地資料加密（如 SQLite、shared prefs）

---

## 🧰 補充說明：

> 若 **L2 資安驗證是必要門檻、專案預算/期程允許**，**強烈建議使用原生開發**。資安可控性高，驗證流程與政府/機關審查更容易通過。

---

以下是針對 APP 安全等級 L1 / L2 / L3 的建議對照表

1. 各等級適用情境
2. 推薦開發架構（原生 / Flutter / 混合）
3. 建議的安全機制
4. 建議資安測試工具 / 機制
5. 審查重點建議文件

---

## 🔐 APP 資安等級建議對照表（L1 / L2 / L3）

| 等級 | 適用情境 | 推薦開發方式 | 建議安全機制 | 建議測試工具 / 審查準備 |
|------|----------|----------------|----------------|----------------------------|
| **L1（基本級）** | - 資訊展示型 APP<br>- 不含登入 / 會員資料<br>- 僅一般內容呈現 | ✅ Flutter / WebView / Hybrid 皆可 | - 基本 HTTPS（TLS 1.2+）<br>- 無敏感資料儲存<br>- 更新憑證有效性 | - OWASP MASVS L1<br>- 自動化掃描（如 MobSF） |
| **L2（強化級）**<br>＊常見政府案/金流/會員登入 | - 含會員登入<br>- 涉及個資、金流、優惠、票券、預約等功能<br>- 必須通過第三方驗證 | ✅ 原生 (Swift/Kotlin)<br>⚠️ Flutter 需搭配原生安全模組 | - Root/Jailbreak 偵測<br>- SSL Pinning<br>- Token 安全儲存（Keychain/Keystore）<br>- Code Obfuscation<br>- 防截圖、防螢幕錄影<br>- 資料加密（如 SQLite）<br>- Session 時效控管 | - OWASP MASVS L2<br>- MobSF + 手動滲透測試<br>- TwCA、TAF 安全認證報告<br>- 資安白皮書、風險矩陣圖 |
| **L3（高強度級）**<br>＊金融/政府/健康醫療類 | - 處理高敏感資訊：金融交易、病歷、政府身分驗證<br>- 必須 FIDO、PKI、T-Card 認證 | ✅ 強烈建議全原生<br>❌ Flutter 不建議使用 | - 全部 L2 機制<br>- FIDO 身分認證<br>- 雙因素登入（OTP + Bio）<br>- Secure Enclave / TEE 支援<br>- 防逆向技術（如 RASP）<br>- Code Integrity Check | - MASVS L2 + Resiliency（防逆向）<br>- 白箱測試 + 黑箱滲透測試<br>- 與政府合格資安廠商合作測試<br>- 需準備完整 Threat Model 文件與安全測試報告 |

---

### 🔹 安全開發建議流程（特別是 L2/L3）：
1. **資安需求規劃 → 設計資料流與權限控管 → 原型開發**
2. **原始碼混淆與安全模組植入（例如：root偵測、SSL pinning）**
3. **靜態/動態安全測試（開發內部 + 第三方稽核）**
4. **出具資安報告 + 回覆問題改善記錄**
5. **供政府或金融單位進行 L2/L3 驗證**

---

## 📝 審查重點文件清單（針對 L2 / L3）：

| 文件項目 | L2 必備 | L3 必備 |
|----------|--------|--------|
| APP 資安測試報告（MobSF 或第三方） | ✅ | ✅ |
| 威脅建模圖（Threat Modeling） | ✅ | ✅ |
| APP 權限與敏感資訊使用表 | ✅ | ✅ |
| 資安開發政策 / SDLC 文件 | ✅ | ✅ |
| 白箱測試報告（原始碼分析） | ✅ | ✅ |
| 黑箱滲透測試報告 | ⚠️ 有些單位需要 | ✅ |
| 資料加密與傳輸設計說明 | ✅ | ✅ |
| FIDO/PKI 實作文件 | ❌ | ✅ |

---

## 🔍 APP 開發框架比較表（針對資安與開發彈性）

| 項目 | 原生 Native<br>(Swift / Kotlin) | Flutter | React Native | WebView（Hybrid） |
|------|------------------------------|---------|----------------|------------------|
| 🔐 資安等級相容性 | ✅ **可達 L3**<br>最高控制力 | ⚠️ 可達 L2（須整合原生）<br>L3 有限制 | ⚠️ 可達 L2（需搭原生模組）<br>L3 難通過 | ❌ 僅適用 L1<br>幾乎無資安防護能力 |
| 🧩 第三方 SDK 整合（如 FIDO、支付、資安） | ✅ 完整支援 | ⚠️ 需透過 Platform Channels 實作原生整合 | ⚠️ 類似 Flutter，需 Native Bridge | ❌ 幾乎無法整合 |
| 📱 使用者體驗（效能、滑順度） | ✅ 最佳表現 | ✅ 非常流暢 | ⚠️ 略慢於 Flutter，需優化 | ❌ 明顯卡頓、App like 低 |
| 🔄 系統 API 支援完整度 | ✅ 滿分 | ⚠️ 需等 Flutter 支援更新 | ⚠️ 有支援延遲風險 | ❌ 僅能使用瀏覽器 API，無法調用手機功能 |
| 🛠️ UI/UX 客製彈性 | ✅ 最佳（完整控制 UI 細節） | ✅ 高自由度 | ✅ 也不錯，但稍複雜 | ❌ 受限於網頁設計，無 App 感 |
| 🧪 測試與稽核透明度 | ✅ 白箱 / 黑箱皆可做 | ⚠️ Dart 層與 Native 隔離較難稽核完整 | ⚠️ 同上 | ❌ 幾乎無法驗證完整資安流程 |
| 🚀 CI/CD 整合度 | ✅ 完整工具鏈 | ✅ 社群工具多 | ✅ Facebook 支援好 | ✅ 僅限網頁自動化 |
| 📦 應用大小 | ⚠️ 較大，但可混淆與優化 | ⚠️ Flutter SDK 本體大 | ⚠️ 類似 Flutter | ✅ 最輕，但功能也最少 |
| 💬 社群與資源 | ✅ 廠商 / 社群龐大 | ✅ 積極發展中 | ✅ 成熟穩定 | ⚠️ 已漸漸被淘汰（不建議新開發使用） |

---

## ✅ 適用建議（依照資安等級與應用場景）

| 資安等級 | 推薦開發方式 | 備註 |
|----------|----------------|------|
| **L1（基本安全）** | WebView / React Native / Flutter | 不涉及登入/金流可考慮，低資安風險場景 |
| **L2（中階資安）** | ✅ Flutter + 原生模組<br>✅ React Native + 原生模組<br>✅ 原生全寫 | Flutter/React Native 須與資安模組（如 root 偵測、SSL pinning）整合，驗證時需原生支援 |
| **L3（高資安要求）** | ✅ **原生開發唯一推薦** | 含 FIDO、醫療、金融類建議原生，通過 OWASP MASVS L2 + Resiliency |

---

## ✨ 簡化推薦句總結：

| 案例場景 | 建議 |
|----------|------|
| 電商 + 登入 + 優惠券 | Flutter / React Native（需補資安機制） |
| 政府、金融、醫療 | 原生 Only（Swift / Kotlin） |
| 展示型 App / 線上雜誌 / 學校刊物 | WebView 可接受，但僅限 L1 |
| 多平台快速開發，但需會員登入 | Flutter（建議 root 偵測 + token 加密等補強） |
| 公司已有前端 React 能力，希望快速轉 App | React Native + 部分模組原生整合 |

---

## 🛡️ Flutter vs React Native 資安補強方式建議（針對 L2 專案）：

| 安全機制 | Flutter 補強方式 | React Native 補強方式 |
|----------|------------------|----------------------|
| SSL Pinning | 使用 `http_override` 或原生 plugin 整合 | 使用 `react-native-ssl-pinning` plugin |
| Root 偵測 | `root_check` plugin 或原生 channel | 使用 `react-native-root-detect` |
| Token 安全儲存 | `flutter_secure_storage`（Android Keystore / iOS Keychain） | `react-native-keychain` |
| 防截圖 | Flutter 使用 `flutter_windowmanager` + 原生設定 | `react-native-prevent-screenshot` |

---

#  **[LABSPACE](https://web.labspace.com.tw)** 層次數位空間有限公司

若想要瞭解更多技術資訊或者希望有人可以協助佈建，可洽[層次數位空間有限公司](https://labspace.com.tw)

# !! 一個念頭與想法 !!
您有一個很棒的主意或想法嗎？我們聆聽並為您提供快速分析與規劃提案。層次數位讓您的系統平台更有層次。

[](https://web.labspace.com.tw)