访问令牌持久性最佳实践(iOS)

| 是否应加密用于Twitter和Facebook等服务的访问令牌? 特别是,令牌应该存储在设备的钥匙串与UserDefaults上吗?如果用户的设备被盗/带走,可能会出现哪些安全问题? 到目前为止,这是我想出的。 钥匙串的优点: 加密的 缺点: 用户删除应用后无法清理 UserDefaults的优点: 保留在应用程序内部。 缺点: 没有加密。     
已邀请:
您的UserDefaults \'con \'需要修改:默认情况下不加密。您可以使用以下方式自己加密内容: CommonCrypto,但在存储纯文本方面还需要其他工作。 OAuth令牌的要点是,拥有该令牌的某人可以使用相关服务,而不必出示凭据。因此,您应该像保护密码一样保护它,因为必须存储密码,因为它具有相同的值。 如果用户的设备被盗,那么除非他们将自己的设备密码锁定,否则在您描述的任何一种情况下,小偷都有能力将您的应用程序用作用户。如果您不对访问令牌进行加密,那么他们还可以提取访问令牌并在其控制下从代码中重播它。     

要回复问题请先登录注册