iOS 数据传输和本地存储安全

众所周知APPLE的iOS是封闭的，每个app有着沙盒路径，正规发布途径也只有唯一的APPStore, 但是市场上越狱手机和强大的抓包工具依然时时刻刻威胁着App 的安全，而且随着项目慢慢积累用户，用户的隐私和数据安全越来越重要，危险遍布于开发的各个阶段，同时对安全的重视程度也间接体现了一个开发者的能力和意识。本文针对项目数据传输和本地存储着两块，将开发过程中涉及到和安全相关的问题都记录下来，作为积累。

数据安全传输

  1. 关键字段加密

在iOS开发过程中，抓包是常见的必备技能之一。我们可以使用抓包利器Charles 或者使用 Fidder 进行抓包，在应用进行发送请求的时候，如果没有对数据和关键信息进行加密的话，那么恭喜你，你的数据在网上裸奔了，与此同时要是有人想获取你的隐私简直再容易不过了，而且还可以篡改你的请求，让你原本准备充值 1 元的账户，生生变成 100元，甚至更多。

所以我们需要在请求数据或者服务端返回数据的时候需要进行数据的加密，目前加密的方法主要有：
RSA － 非对称加密
DES － 对称加密
AES － 对称加密

使用 RSA 加密是最安全的，但加解密的时候也相应需要较多的时间，所以建议一般加密的接口敏感数据使用 DES 或者 AES 就足够了。

RSA_DES_AES加密demo  https://github.com/Dogndxt/AES-and-DES
  1. HTTPS 协议传输

自苹果宣布2017年1月1日开始强制使用https以来，htpps慢慢成为大家讨论的对象之一，不是说此前https没有出现，只是这一决策让得开发者始料未及， 虽然在2016年底，苹果突然宣布无限期推迟这个计划，不过随着网络世界的日益发达，将自己开发的产品从 http 升级到 https 已经是势在必行了， 最近在项目中已经将 https 应用其中，在这里记录下来，以帮助其他开发者快速接入 https 。

iOS https 协议 配置 http://note.youdao.com/share/?id=f2c11b7d4c12d5d219ca2a42ac367584&type=note#/

本地存储加密

  1. 配置文件

为了存储必要的数据在本地，一般情况下使用NSUserDefaults 或者使用数据库的方式。由于在越狱的手机上，用户可以访问到该项目的私有文件夹，并且可以拿到 plist 和 db 文件，那么如果明文存储敏感数据的话，那么就可以轻易获取，危害用户的信息隐私，解决的办法在于，需要将这些信息进行加密之后再存储，虽然这样不能完全防止被破解，但是这样总是提高了黑客的破解代价了。

具体的加密可以参照关键字段加密介绍的 RSA，DES 和 AES 加密算法。

  1. NSLog 打印内容缓存

为了清晰的看到接口返回的数据，或者为了定位每一步调用，相关参数的变化，有很多程序员会使用 NSLog 将数据和参数的值进行打印，而且一些第三方框架也会进行数据打印，这些数据在程序运行之后会在沙盒内的 /Library/Caches 下进行缓存。建议有打印数据需求的开发者将 NSLog 进行封装：

 //------------------------打印日志-----------------------------
//DEBUG  模式下打印日志,当前行
#ifdef DEBUG
#   define DLog(fmt, ...) NSLog((@"%s [Line %d] " fmt), __PRETTY_FUNCTION__, __LINE__, ##__VA_ARGS__);
#else
#   define DLog(...)
#endif

#ifdef DEBUG
#   define QXDLog(fmt, ...) NSLog((@"-------------- \n %s [Line %d] \n------------" fmt), __PRETTY_FUNCTION__, __LINE__, ##__VA_ARGS__);

#define QXDAFNErrorLog(error) NSLog((@"-------------- \n %s [Line %d] \n \n %@-------------\n"), __PRETTY_FUNCTION__, __LINE__, [[NSString alloc] initWithData:error.userInfo[@"com.alamofire.serialization.response.error.data"] encoding:NSUTF8StringEncoding]);
#else
#   define QXDLog(...)
#   define QXDAFNErrorLog(error)
#endif
  1. SQLite数据库文件

打开程序目录/Library/Caches/项目bundle ID/下的cache.db文件, 会发现这个 db 文件对每个接口的请求返回数据进行了存储，当然包括以下敏感的数据，例如：用户登录完成之后后台返回的用户信息数据，用户 Token ….

而这些缓存对我们都是没有用的，这个时候可以使用限制程序缓存的方式，让这些缓存消失；

// 清除本地数据请求缓存
NSURLCache *sharedCache = [[NSURLCache alloc] initWithMemoryCapacity:0 diskCapacity:0 diskPath:0];
[NSURLCache setSharedURLCache:sharedCache];