security - 反编译移动客户端应用程序以获取 API 密钥

Question

假设您有一个使用基于 HTTP 标头的专有身份验证系统的应用程序，并进一步假设身份验证信息被硬编码到应用程序中（我不知道您会怎么做）。它通过 SSL 访问 Web 服务。

我认为不可能嗅出标头（如果我错了，请纠正我）但是有动力的用户实际上可以反编译应用程序并以某种方式获取 API 密钥吗？这在 iOS (Obj-C) 和 Android/Blackberry (Java) 之间有何不同？