flutter如何安全存储密钥

在Flutter开发中，如何安全地存储API密钥或敏感信息？直接写在代码中可能会被反编译泄露，用SharedPreferences存储也不够安全。有没有推荐的安全存储方案，比如KeyStore/KeyChain集成或加密存储的最佳实践？第三方库flutter_secure_storage是否可靠？需要兼顾Android和iOS平台的兼容性。

2 回复

Flutter中安全存储密钥可使用flutter_secure_storage插件，它利用平台密钥库（Android Keystore / iOS Keychain）加密存储敏感数据。避免硬编码，确保密钥在设备上安全。

更多关于flutter如何安全存储密钥的实战系列教程也可以访问 https://www.itying.com/category-92-b0.html


在Flutter中安全存储密钥，推荐以下方法：

1. flutter_secure_storage（推荐）

使用Keychain（iOS）和KeyStore（Android）进行安全存储：

import 'package:flutter_secure_storage/flutter_secure_storage.dart';

class SecureStorage {
  static final _storage = FlutterSecureStorage();
  
  // 存储密钥
  static Future<void> storeKey(String key, String value) async {
    await _storage.write(key: key, value: value);
  }
  
  // 读取密钥
  static Future<String?> getKey(String key) async {
    return await _storage.read(key: key);
  }
  
  // 删除密钥
  static Future<void> deleteKey(String key) async {
    await _storage.delete(key: key);
  }
}

// 使用示例
await SecureStorage.storeKey('api_key', 'your_secret_key');
String? apiKey = await SecureStorage.getKey('api_key');

2. 加密本地存储

结合加密算法和本地存储：

import 'package:encrypt/encrypt.dart';
import 'package:shared_preferences/shared_preferences.dart';

class EncryptedStorage {
  static final _key = Key.fromUtf8('your-32-character-encryption-key');
  static final _iv = IV.fromLength(16);
  static final _encrypter = Encrypter(AES(_key));
  
  static Future<void> storeEncrypted(String key, String value) async {
    final encrypted = _encrypter.encrypt(value, iv: _iv);
    final prefs = await SharedPreferences.getInstance();
    await prefs.setString(key, encrypted.base64);
  }
  
  static Future<String?> getDecrypted(String key) async {
    final prefs = await SharedPreferences.getInstance();
    final encryptedValue = prefs.getString(key);
    if (encryptedValue != null) {
      final encrypted = Encrypted.fromBase64(encryptedValue);
      return _encrypter.decrypt(encrypted, iv: _iv);
    }
    return null;
  }
}

3. 最佳实践建议

  • flutter_secure_storage 是首选方案，利用平台原生安全机制
  • 避免在代码中硬编码密钥
  • 对于高度敏感数据，考虑服务端存储
  • 定期轮换密钥
  • 在Android中配置android:usesCleartextTraffic=“false”

安全注意事项

  • iOS：确保启用Keychain共享
  • Android：minSdkVersion至少18以获得最佳安全性
  • 始终处理存储失败的情况
  • 考虑生物识别认证作为额外保护层

flutter_secure_storage提供了最佳的平台原生安全保护，是存储敏感信息的首选方案。

回到顶部