Лучшая защита - это ничего не хранить на клиенте, кроме токена для доступа к своему сервису. Никогда не работать напрямую с базой из клиента, да и к сторонним закрытым API лучше обращаться через свой сервис. Только так можно гарантировать, что злоумышленник ничего не найдет.