react-native - 如何在 native 客户端安全地存储 key ？

Question

假设我正在构建一个带有 firebase 的 react-native 应用程序，它假定应用程序中有 key 。有人可能会偷 key 吗？如果是这样，那么我该如何保护它？

Answer 1

没有 100% 安全的方式在设备上存储任何 secret ，因为您无法控制对源的访问。保证 key 安全的唯一方法是从一开始就永远不要将它们放在设备上。

您找到的任何解决方案都会有缺陷，this article by Michael Ramirez 很好地说明了这一点。

您需要在您真正需要这些 key 的安全性之间取得平衡。

例如，在 Android 上，我们将一些我们对 Google 和其他 API 不太关心的 key 存储在 res/values/secrets.xml 字符串文件中，该文件不致力于版本控制。有人很容易strings out_app.api ，但我们已经决定不太关心保护这些 key 。

<resources>
    <string name="google_api_key">OurApiKey</string>
</resources>

如果您在 Android 上使用 ReactNative 并根据您要存储的 key 类型，您可以使用 Android Keystore System使用 Keystore API
但是我认为这不适用于存储 Firebase key 。