android - Android 上的 SQLite 和 SharedPreferences 文件的安全性如何？

Question

首先，介绍一下我的背景。我已经在大型 Web 系统上工作了十多年，过去两个月我一直在研究 Android；可以想象，差距是相当大的:)

看安卓的Security and Permissions和 Data Storage文档的一部分，直接与开发人员交谈，阅读书籍和教程，很清楚整个模型是如何工作的。但是，我无法找到 SQLite 和 SharedPreferences 文件是否足够安全以存储微妙的非加密信息(例如，OAuth token )的答案。有人可以以任何方式捕获它们吗？引用 Android 的文档:

Any data stored by an application will be assigned that application's user ID, and not normally accessible to other packages.

这是通常无法访问的部分让我有额外的白发:)

谢谢您，感谢您提供有用的答案:)

Answer 1

Is it possible for someone to grab them in any way?

这取决于某人。正如 Burov 先生所说，root 手机的用户可以随心所欲。默认情况下，普通用户和其他应用程序不能。

It's the not normally accessible part giving me additional grey hair :)

默认情况下，文件是安全的。如果您愿意，您可以将它们设为全局可读或可写。

Wouldn't it be possible to decompile apk file and find encryption key as well in that case?

这取决于您要防御的对象。如果您要防御其他应用程序，请让用户提供加密 key 。如果你在保护用户，你就完蛋了，就像所有的 DRM 实现都完蛋一样。