ios - 存储 paypal api 凭据的最佳和安全方式

Question

我正在创建一个集成了适用于 iOS 的 PayPal API 的 iPhone 应用程序。 API 在发送请求时需要 API 凭据。我阅读了 PayPal API，它说

Never send Express Checkout requests from your mobile application directly to PayPal. The requests require your PayPal API credentials. Placing your credentials on mobile devices exposes you and PayPal to unacceptable security risks. Send Express Checkout requests only from secure servers.

我的问题是，存储 API 凭据的最佳方式是什么，以减少我的凭据被泄露或被黑客入侵的可能性？将凭据附加到 iPhone 构建有风险吗？为什么或如何？将这些凭据存储在安全服务器上是否足够可靠？

编辑:iOS 上的钥匙串(keychain)访问 api 如何帮助我解决这个问题？

Answer 1

将 API key 放入您的应用中是完全不安全的。通过一系列技术，任何可以下载该应用程序或拿到装有该应用程序的手机的人都可以简单地读取 API key 。即使您按照@MatthiasBauch 的建议并稍后下载 secret ，这仍然成立。即使您执行@Rexeisen 建议的操作并混淆字符串，它也成立。

你最好的选择是使用 apple 的内置订阅服务来处理付款(这可能不适用，他们会收取费用，但可能比你在手机上做的更安全)

即使您不想或不能这样做，也可以为应用程序的每个实例提供一个唯一的 ID，它们在使用您控制的服务器下载时注册。该服务器拥有 paypal 凭据，并将代表他们进行 api 调用。这样，如果任何给定的电话被盗/您的服务器读取了它的 api key ，您可以简单地撤销该 key ，您的 paypal API key 仍然是安全的。重要警告:在您真正撤销该应用程序的 key 之前，拥有它的任何人仍然可以使用它来进行您的服务器支持的调用。这可能是一件非常糟糕的事情。