java - 在设备上存储 JWT 以保持用户登录状态

Question

我正在开发一个 Android 银行应用程序，希望用户即使在应用程序关闭后也能保持登录状态。为了使其尽可能安全，我的想法是在 JWT 中存储唯一的设备 ID，然后从 token 中提取该 ID，并将其与应用程序启动时从设备获取的设备 ID 进行比较。

我会将 token 存储在 SharedPreferences 中，但是，我刚刚读到，由于人们 root 是手机，这些设备 ID 并不总是唯一的。最好的解决方案是什么？如何确保我在启动时验证的 token 已提供给该用户/设备？我不一定需要使用设备 ID，因此欢迎任何其他安全选项。

Answer 1

我认为在像银行应用程序这样敏感的东西中拥有持久的登录 session 不是一个好主意，但如果您坚持这样做:

使用SafetyNet Attestation API用于检查运行应用程序的设备是否已获得 root 权限，如果是，则阻止用户进行交互。完成此操作后，只需将常规 SharedPreferences 与 Mode.PRIVATE 结合使用，任何人都无法在您的应用之外读取此数据。