它是不能或几乎不能从字节码中提取出来的足够保护吗？
“足够”是一个主观术语；只有您才能确定自己的感觉足以满足您的需求。
是否可以仅从apk文件提取密码？
是的，因为可以对APK文件进行反编译，可以监听未加密的网络对话，等等。
如何减少威胁
您可以购买并使用DexGuard的许可证，因为它会加密诸如密码之类的硬编码字符串。是否值得进行额外的防御是您的决定。
最好在外部配置文件中配置密码
根植设备的任何人都可以获取该文件。
还是在应用安装过程中随机生成（然后应将其存储在哪里）？
它将存储在至少对root用户可用的位置。
