Genomföra säker datalagring med nyckelkedjan i Ios

Ställa in Keychain Storage

Innan du lagrar någonting måste du bestämma om ]Keychain-objektklassen. Den vanligaste för generiska lösenord är ]]. För Internetlösenord eller certifikat finns det andra klasser. Varje objekt refereras av en uppsättning attribut - en ordbok (CFDictionary) som beskriver objektet.

Grundflödet följer alltid detta mönster:

1. Bygg en frågeordbok med objektklassen och attributen.
2. ] [[[]]]] []]]]] []]]]]]]]]]] [[]]]]]]]]]]]]]]
3. Kontrollera den returnerade []] eller en felkod.

Innan du skriver kod, importera säkerhetsmodulen:

import Security
import Foundation // for Data and String utilities

Lagra data i Keychain

Skriva ett generiskt lösenord

För att spara en token (t.ex. en JWT) för den aktuella användaren:

func saveToken(_ token: String, forAccount account: String) -> Bool {
 guard let tokenData = token.data(using: .utf8) else { return false }

 let query: [String: Any] = [
 kSecClass as String: kSecClassGenericPassword,
 kSecAttrAccount as String: account,
 kSecValueData as String: tokenData,
 // Optional: restrict access to when device is unlocked
 kSecAttrAccessible as String: kSecAttrAccessibleWhenUnlockedThisDeviceOnly
 ]

 // Delete any existing item first to avoid duplicates
 SecItemDelete(query as CFDictionary)

 let status = SecItemAdd(query as CFDictionary, nil)
 return status == errSecSuccess
}

Nyckelpunkter:

• fungerar som en primärnyckel; välj en unik sträng (t.ex. användar-ID eller en konstant som ).
• ] kontrollerar när objektet kan läsas. Använd ]] för bästa säkerhet; det förhindrar iCloud-backup och begränsar åtkomsten till den aktuella enheten.
• Vi kallar innan du lägger till för att undvika att samla dubbla objekt. Alternativt kan du använda .

Lägga till Access Control (Biometry eller lösenord)

För högkänsliga data, kräver Touch ID eller Face ID innan du läser:

let accessControl = SecAccessControlCreateWithFlags(
 nil,
 kSecAttrAccessibleWhenUnlockedThisDeviceOnly,
 .userPresence, // requires passcode, Face ID, or Touch ID
 nil
)

let query: [String: Any] = [
 kSecClass as String: kSecClassGenericPassword,
 kSecAttrAccount as String: account,
 kSecValueData as String: tokenData,
 kSecAttrAccessControl as String: accessControl as Any
]
SecItemAdd(query as CFDictionary, nil)

Nu kommer alla ] kräver att detta objekt kommer att utlösa en biometrisk eller lösenkod snabb. Använd ] från LocalAuthentication för att hantera användarinteraktionen graciöst.

Hämta data från Keychain

För att läsa den lagrade token:

func retrieveToken(forAccount account: String) -> String? {
 let query: [String: Any] = [
 kSecClass as String: kSecClassGenericPassword,
 kSecAttrAccount as String: account,
 kSecReturnData as String: true,
 kSecMatchLimit as String: kSecMatchLimitOne
 ]

 var item: CFTypeRef?
 let status = SecItemCopyMatching(query as CFDictionary, &item)

 guard status == errSecSuccess,
 let data = item as? Data,
 let token = String(data: data, encoding: .utf8) else {
 return nil
 }
 return token
}

] till ]] för att få tillbaka data. Använd för att hämta ett enda resultat. Om du utelämnar gränsen kan API returnera en array.

]: []]] När du använder åtkomstkontroll (biometri), ]]]] kan samtalet returnera ]] om användaren avbryter. Hantera detta fall separat och aldrig falla tillbaka till vanlig textlagring.

Uppdatering och radering av Keychain-objekt

Uppdatera ett befintligt objekt

Istället för att ta bort och återskapa, använd :

func updateToken(_ newToken: String, forAccount account: String) -> Bool {
 guard let newData = newToken.data(using: .utf8) else { return false }

 let query: [String: Any] = [
 kSecClass as String: kSecClassGenericPassword,
 kSecAttrAccount as String: account
 ]

 let attributesToUpdate: [String: Any] = [
 kSecValueData as String: newData
 ]

 let status = SecItemUpdate(query as CFDictionary, attributesToUpdate as CFDictionary)
 return status == errSecSuccess
}

Detta är mer effektivt än en rad + annons, och det undviker potentiella race villkor.

Ta bort ett objekt

func deleteItem(forAccount account: String) -> Bool {
 let query: [String: Any] = [
 kSecClass as String: kSecClassGenericPassword,
 kSecAttrAccount as String: account
 ]
 let status = SecItemDelete(query as CFDictionary)
 return status == errSecSuccess
}

Var noga med att inte ta bort objekt som hör till andra appar som delar samma åtkomstgrupp - om du alltid använder delade Keychains.

Access Control och Accessibility Attribuerar

konstant definierar ] när ]] Keychain-objektet kan läsas. Välj det mest restriktiva alternativet som fortfarande uppfyller din apps behov:

För de flesta appar, ] slår rätt balans mellan säkerhet och användbarhet. Om du behöver läsa objekt i bakgrunden (t.ex. en bakgrundsuppdateringstoken), måste du använda (och acceptera att data är något mindre skyddad).

Felhantering och gemensamma fallgropar

] funktioner returnera en ]. Kontrollera alltid det och hantera fel på lämpligt sätt. Vanliga fel:

• (-25300) - Inget objekt matchar frågan.
• (-25299) - Ett objekt med samma primärnyckel finns redan (om du inte tog bort först).
• (-128) - Användare avbruten biometrisk snabbhet.
• (-25293) - Autentisering misslyckades eller biometri inte tillgänglig.

Aldrig ignorera en icke-framgångsstatus. Gracefully degrade: visa ett felmeddelande eller förfall, men aldrig lagra känsliga data utanför Keychain som en återgång. Du kan använda för att kontrollera biometrisk tillgänglighet innan du försöker få tillgång till det.

Bästa praxis och produktionsövervägningar