android - 移动设备：如何保护 API 凭证？

Question

我有一个 APi，它需要一组开发人员凭据（消费者密钥/消费者密码）才能调用注册用户 Web 服务来注册用户。

我想通过移动设备调用注册用户网络服务方法，但不想存储开发人员凭据（太危险了，即使它是加密的）

你将如何解决这个问题？

Answer 1

在 iOS 上，使用“钥匙串”，http://developer.apple.com/library/ios/DOCUMENTATION/Security/Conceptual/keychainServConcepts/iPhoneTasks/iPhoneTasks.html。

在 Android 上，目前没有加密的钥匙串，请参阅相关问题Android Keychain for user credentials。通过使用文件系统并以纯文本形式存储您的凭据，您将依赖底层应用程序沙盒，它在一定程度上保护您的文件（仅由您的应用程序读取），但肯定不会在有根手机上......所以您需要在这里权衡风险并做出相应的选择。