diff --git a/api/Communication.php b/api/Communication.php
index 19e7429..66e72a2 100644
--- a/api/Communication.php
+++ b/api/Communication.php
@@ -203,6 +203,11 @@ if ($data['mod'] == 'GetAppInfo'){
         }
         $i ++ ;
     }
+    // 安全加固 (P0-04)：connectkey/decryptkey 是服务端与 SDK 通信的签名/解密密钥，
+    // 原实现把 sq_apps 全行（含这两个密钥明文）返回给 SDK，导致任何持有合法
+    // token 的调用方/抓包者拿到密钥后可伪造该应用的任意 API 请求。改为掩码下发。
+    if (isset($appinfo['connectkey'])) $appinfo['connectkey'] = str_repeat('*', 8);
+    if (isset($appinfo['decryptkey'])) $appinfo['decryptkey'] = str_repeat('*', 8);
     $communication->back(1,'',$appinfo);
 }