iOS 开发中的一个疑惑

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3306 天前的主题，其中的信息可能已经有所发展或是发生改变。

一个客户端应用，比如说微博的第三方客户端，应该把 api_secret_key 这种重要的常量放到项目的哪个位置？如果被逆向了是不是这个 api_secret_key 也会泄漏？

客户端

常量

api_secret_key

逆向

11 条回复 • 2015-11-09 13:13:42 +08:00

XcodeUser

2015-11-07 09:02:14 +08:00

keychain

pheyer

2015-11-07 09:35:15 +08:00

@XcodeUser 越狱后 keychain 一样不安全， http://bobao.360.cn/learning/detail/324.html

WildCat

2015-11-07 09:36:49 +08:00

http://nianxi.net/ios/ios-string-security/

GPU

2015-11-07 11:03:23 +08:00

keychain 可以保存 app 的登录密码的吗原来。

怎么用的？

squid157

2015-11-07 11:06:46 +08:00

API Key 放在客户端这个我觉得不合适应该放在你们的服务器吧客户端不直接调用上面的 API 而是调用你们服务器的 API

然后再考虑你们内部的 api_key 怎么处理

这样有 key 泄露了也好处理

zts1993

2015-11-07 12:05:08 +08:00 via iPhone

我来看头像

WastedTime

2015-11-07 12:20:03 +08:00

@squid157 我觉得这样其实没有从本质上解决问题，不过还是感谢你

daniellu

2015-11-07 20:39:17 +08:00

@pheyer 谈越狱后就没啥好谈的了就算加密了又能怎么样 ipa 发向工程还是可以破解的

so898

2015-11-08 00:33:55 +08:00

以前针对微博（算是 OAuth 2.0 ）这种验证研究过
具体来说就是你的 Secret 应该存在你的服务器上，通过那个回掉的 URL 获取用户的 Access Token
以前有些 SDK 会在用户登录的时候拦截 URI 跳转，然后通过应用拿回用户的 Access Token ，这样确实省了一个服务器成本，但是 Secret 就得保存在本地，而且傻逼微博获取 Access Token 的接口是 get 的， ssl 也无法防止用户拦截获取你的 Secret

WastedTime

2015-11-09 13:05:06 +08:00

找到一篇可供参考的解决方案： http://stackoverflow.com/questions/14778429/secure-keys-in-ios-app-scenario-is-it-safe 我想这就是上面各位说的把 secret key 放到服务器端来保护。看来服务器这一层目前是免不了了，那我干脆在服务器这层把翻墙代理一起弄了，这样就可以做出在国内可用的 Twitter 客户端了 XD ，一个思路，不一定对。

WastedTime

2015-11-09 13:13:42 +08:00

另一篇供参考的文章： https://stormpath.com/blog/the-ultimate-guide-to-mobile-api-security/