개발서버, 테스트 서버 정보가 확인될때 대응방안

(1)

dev 문자열 검색으로 개발및 테스트 서버 주소가 확인될때 취약점으로 잡는다고 이야기 해주셨습니다.

대응방안으로는 하드코딩된 테스트및 개발 서버 주소및 테스트 코드 삭제가 최선의 방법이겠죠?

(2)

안드로이드의 경우 디컴파일해서 자바소스가 난독화 되지 않을경우 취약점으로 잡고 있습니다.

iOS의 경우 기드라의 디컴파일뷰에 소스코드가 확인되는데

안드로이드와 똑같이 난독화 취약점으로 잡아야 하나요?

iOS의 무료 난독화툴을 알고 싶습니다.

(3)

오픈소스등 다른곳에서 제공되는 암호화 복호화 모듈이 디컴파일을 통해 확인이 될때 취약점으로 잡아야 할까요?

진단 기간내에 복호화 되는지 테스트를 해보았지만 간단하게 복호화 되지는 않았습니다.  진단 시간이 충분하게 주어진다면 복호화 되지 않을까 라는 생각이 들기도 합니다. (확률은 50%정도)