移动设备：如何保护API凭据？

Question

我有一个APi需要一组开发人员凭证（消费者密钥/消费者密码）才能调用注册用户Web服务来注册用户。

我想通过移动设备调用注册用户Web服务方法，但不想存储开发人员凭据（太危险，即使加密）

你会如何解决这个问题？

Answer 1

在iOS上，使用“Keychain”，http://developer.apple.com/library/ios/DOCUMENTATION/Security/Conceptual/keychainServConcepts/iPhoneTasks/iPhoneTasks.html。

在Android上，目前没有加密的钥匙串，请参阅相关问题Android Keychain for user credentials。通过使用文件系统并以纯文本格式存储您的凭据，您将依赖于底层应用程序沙盒，它可以在某种程度上保护您的文件（只能由您的应用程序读取），但肯定不会在root用户手机上...所以你需要在这里权衡风险并相应地选择。