在React Native中保存敏感数据

Question

我正在构建一个React本机应用程序，需要保存一些敏感数据，如令牌和刷新令牌。显而易见的解决方案是使用异步存储保存这些信息。问题在于异步存储的安全级别。

AsyncStorage提供了一种本地存储令牌和数据的方法。在某些方面，它可以与LocalStorage选项相比较。在完整生产应用程序中，建议不要直接访问AsyncStorage，而是使用抽象层，因为AsyncStorage与使用同一浏览器的其他应用程序共享，因此从存储中删除所有项目可能会影响相邻应用程序的功能。

https://auth0.com/blog/adding-authentication-to-react-native-using-jwt/

在本机应用程序中，我会在iOS中选择Keychain，并在Android中的私有模式中选择共享首选项。

对于我在React Native提供的留档中读到的内容：

在iOS上，异步存储由本机代码支持，本机代码将小值存储在序列化字典中，将大值存储在单独的文件中。在Android上，AsyncStorage将根据可用内容使用RocksDB或SQLite。

https://facebook.github.io/react-native/docs/asyncstorage.html

他们从不谈论数据的安全性。

这是最好的解决方案创建一个模块为Android（使用共享首选项在私人模式）和另一个为iOS（使用Keychain）保存明智的数据？或者使用提供的Asyncstore方法是安全的？

Answer 1

如果有人需要对数据进行加密的附加步骤，您可能需要查看以下内容：https://github.com/oblador/react-native-keychain

它在内部使用facebook。

Answer 2

AsyncStorage将键值对保存为Documents目录中的纯文本JSON文件。它不加密其内容。

这是一个安全问题（至少在iOS上），因为有权访问该设备的攻击者可能会获得沙箱内容的转储，并轻松提取通过异步存储保存的任何数据。

这在异步存储文档中没有明确说明。js，但现在是：https://github.com/facebook/react-native/pull/8809

另见：https://stackoverflow.com/a/38398114/1072846

Answer 3

只要深入研究React Native代码，我就找到了答案。

Android系统

React NativeAsyncStorage模块实现基于SQLiteOpenHelper。处理所有数据类的包：https://github.com/facebook/react-native/tree/master/ReactAndroid/src/main/java/com/facebook/react/modules/storage

该类包含创建数据库的说明：https://github.com/facebook/react-native/blob/master/ReactAndroid/src/main/java/com/facebook/react/modules/storage/ReactDatabaseSupplier.java

通过Android留档，应用程序创建的数据库保存在关联应用程序的私有磁盘空间中，因此是安全的。

就像您保存在设备内部存储上的文件一样，Android将您的数据库存储在关联应用程序的私有磁盘空间中。您的数据是安全的，因为默认情况下，其他应用程序无法访问该区域。

来源

网间网html" target="_blank">操作系统

在iOS中，AsyncStorage值保存在序列化字典文件中。这些文件保存在应用程序NSDocumentDirectory中。在iOS中，所有应用程序都生活在自己的沙箱中，因此一个应用程序的所有文件都是安全的，其他应用程序无法访问这些文件。

iOS中处理Asyncstore模块的代码可以在这里找到：https://github.com/facebook/react-native/blob/master/React/Modules/RCTAsyncLocalStorage.m

正如我们在这里看到的，用于存储由AsyncStore保存的值的文件保存在NSDocumentDirectory下（在应用程序沙盒环境中）。

每个应用程序都是一座孤岛iOS应用程序与文件系统的交互主要限于应用程序沙盒内的目录。在安装新应用期间，安装程序会为应用创建多个容器。每个容器都有特定的角色。bundle容器保存应用的bundle，而数据容器保存应用程序和用户的数据。数据容器被进一步划分为多个目录，应用可以使用这些目录对其数据进行排序和组织。应用程序还可以在运行时请求访问其他容器，例如iCloud容器。

来源

结论

使用AsyncStorage保存用户令牌是安全的，因为它们保存在安全上下文中。

请注意，这仅适用于没有root的Android设备和没有越狱的iOS设备。还请注意，如果攻击者具有对设备的物理访问权限，并且设备未受到保护，则。他可以将设备连接到mac笔记本电脑，提取文档目录，并查看保存在文档目录下的所有内容。