ios - 可以使用 iOS 和 Rails API 应用程序将 token 和密码存储在 iOS 钥匙串(keychain)中吗？

Question

我正在构建一个带有 Rails 后端的 iOS 应用。

对于身份验证，我使用名为 devise_token_auth 的 Rails gem。 https://github.com/lynndylanhurley/devise_token_auth

我在注册或登录后将访问 token 、客户端 ID 和电子邮件存储在 iOS 钥匙串(keychain)中。

但是，出于安全原因， token 应在 2 周后过期，因此 iOS 用户应每 2 周重新登录一次。

我想，在这种情况下您可以使用刷新 token ，但不幸的是我无法从 devise_token_auth gem 中找到刷新 token 。

因此，在这种情况下，将用户密码存储在 iOS 钥匙串(keychain)中以在 token 过期时自动重新登录是否可以，或者将密码存储在钥匙串(keychain)中是个坏主意，应该避免？

如果将密码存储在钥匙串(keychain)中以避免每 2 周从移动应用登录一次不是一个好习惯，是否有任何建议可以与刷新 token 一起使用？

我想知道我是否可以将 refresh-token 与这个 jwt gem 一起使用。 https://github.com/nsarno/knock

Answer 1

通常我会同意@nsarno，但在这种情况下我不同意。是的，将关键数据存储在设备上是一种不好的做法，应尽可能避免。但是钥匙串(keychain)就是为此目的而构建的。如果设备已解锁(通过生物识别身份验证或 Pin)，密码/ token 只能由您的应用程序(或入侵者)访问。

检查 https://developer.apple.com/documentation/security/keychain_services那里解释了所有必要的功能。