它的位置在哪里，是以纯文本的形式存储还是加密的？如果没有加密，有什么方法可以保证它不被恶意软件从手机存储中窃取？
当我通过HttpURLConnection类访问我的REST API后端时，像在浏览器中存储cookie是安全的吗？
的默认实现 HttpURLConnection 在内存中存储cookie。当虚拟机退出时（即：托管应用程序的操作系统进程被杀死），cookie存储就会消失。
在已root的设备上，理论上，流氓应用程序有可能监视你的应用程序的内存，或者只是拦截HTTP通信来查看cookie。在非root设备上，这是不可能的。
你可以提供自己的cookie管理器，而不是使用默认的实现。然后，你可以将cookie存储在你想要的任何地方和方式。
请看https:/developer.android.comreferencejavanetHttpURLConnection#session-with-cookies。
更多信息。