Flutter应用在安卓和iOS重装后绕过身份验证问题

问题根源 #

卸载重装后仍能自动登录，核心原因是系统自动备份机制（安卓Auto Backup、iOS iCloud备份）恢复了flutter_secure_storage存储的会话数据，或是应用启动时的校验逻辑存在疏漏。

具体解决方案 #

1. 禁用/配置系统自动备份

• 安卓端
  默认开启的Auto Backup会将应用数据（包括flutter_secure_storage的存储内容）备份到Google Drive，重装时自动恢复。需修改AndroidManifest.xml：

  • 直接禁用全局备份：

    <application
        ...
        android:allowBackup="false">
    

  • 精细配置备份规则（仅排除安全存储数据）：
    1. 在res/xml目录创建backup_rules.xml：

       <full-backup-content>
           <exclude domain="sharedpref" path="FlutterSecureStorage"/>
       </full-backup-content>
       

    2. 在AndroidManifest.xml中引用该规则：

       <application
           ...
           android:fullBackupContent="@xml/backup_rules">
       

• iOS端
  iCloud备份会同步Keychain数据（flutter_secure_storage在iOS上默认存在Keychain），需做以下处理：

  • 在Flutter初始化flutter_secure_storage时禁用iCloud同步：

    final storage = FlutterSecureStorage(
      iCloudOptions: ICloudOptions(
        synchronize: false, // 关闭iCloud同步
      ),
    );
    

  • 或修改Info.plist，添加Enable Keychain Sharing并设置为NO，阻止Keychain数据被iCloud备份。

2. 完善应用启动校验逻辑

不要仅通过本地存储是否存在数据判断登录状态，需增加后端校验步骤：

Future<void> checkAuthOnLaunch() async {
  final storage = FlutterSecureStorage();
  final authToken = await storage.read(key: 'auth_token');

  if (authToken != null) {
    // 调用后端接口验证token有效性
    final isTokenValid = await yourApiService.validateToken(authToken);
    if (!isTokenValid) {
      await storage.deleteAll(); // 清除无效数据
      Navigator.pushReplacementNamed(context, '/login');
      return;
    }
    Navigator.pushReplacementNamed(context, '/home');
  } else {
    Navigator.pushReplacementNamed(context, '/login');
  }
}

3. 测试时的注意事项

• 安卓测试：使用adb uninstall com.your.package.name命令彻底卸载应用，避免手动卸载残留缓存。
• iOS测试：在真机/模拟器上彻底删除应用，或关闭iCloud备份后测试，确保是全新安装环境。

内容的提问来源于stack exchange，提问作者Akhil George