是否有任何机制以安全的方式向 iOS 应用程序传递秘密

Question

我想动态地将特定的键值对（秘密）发送到应用程序。所以通过一些调查，我们似乎有苹果远程资产概念（虽然没有找到任何文档）。

请帮助我找到一些选项来执行此操作，以及有关苹果远程资产的文档（如果有的话）。

提前致谢。

Answer 1

这是一篇相当全面的文章：

https://nshipster.com/secrets/

TL;DR：不要这样做。

正确的做法是将您的第三方 API 秘密嵌入到您控制的服务器中，使用该服务器验证您的客户端并让他们在您的服务器上调用 API 以证明他们具有正确的授权，然后让服务器调用第三方 API。

但是，如果您真的必须向客户端发送秘密，请使用以下方法之一：

• 按需资源：下载包含纯文本秘密的数据资产。 https://developer.apple.com/library/archive/documentation/FileManagement/Conceptual/On_Demand_Resources_Guide/index.html
• CloudKit 数据库：在您的 CloudKit 仪表板的私有数据库中设置机密。 （奖励：订阅自动凭证滚动功能的更改） https://developer.apple.com/documentation/cloudkitjs/cloudkit/database
• 后台更新：一旦客户通过 APNS 上线，就悄悄地向他们推送秘密。 https://developer.apple.com/documentation/usernotifications/setting_up_a_remote_notification_server/pushing_background_updates_to_your_app