Где хранить учетные данные клиента OAuth на Android

Question

У меня есть приложение для Android, которое взаимодействует с защитой WebAPI через OAuth. Для получения токена доступа мне нужно отправить учетные данные OAuth (то есть идентификатор клиента и секрет клиента) в заголовке запроса. Мой вопрос: где я должен хранить эти 2 значения (идентификатор клиента и секрет клиента), чтобы приложение могло использовать его, когда это необходимо. В настоящее время я просто закодировал его в вызове. Можно ли хранить их в файле strings.xml?

Answer 1

Просьба предоставить пользователю общие привилегии для хранения защищенных данных, потому что, если какой-либо другой инженер обратного проектирования получит жестко закодированные строки.shared pref - это безопасное место, где вы можете хранить данные.

Answer 2

Если вы обеспокоены безопасностью, вы можете сохранить данные в SharedPreference, зашифровав и сохранив ключи шифрования в Android Keystore.

Keystore не используется непосредственно для хранения таких секретов приложений, как пароль, однако он обеспечивает безопасный контейнер, который может использоваться приложениями для хранения своих закрытых ключей, что довольно сложно для вредоносных (неавторизованных) пользователей и приложения для извлечения.

Вот хороший учебник для создания хранилищ ключей. http://www.androidauthority.com/use-android-keystore-store-passwords-sensitive-information-623779/

Answer 3

Нет, это не безопасно хранить в строках.xml. Вместо этого используйте SharedPreferences. Например:

SharedPreferences preferences = PreferenceManager.getDefaultSharedPreferences(context); 

, а затем хранить идентификатор клиента и секрет клиента, как это:

sharedPreferences.edit() 
.putString("client_id", "your_client_id") 
.putString("client_secret", "your_client_secret") 
.apply(); 

Чтобы получить идентификатор клиента и секрет клиента обратно от SharedPreferences:

String clientId = preferences.getString("client_id", "No ID"); 
String clientSecret = preferences.getString("client_secret", "No Secret");