Firebase将令牌存入AsyncStorage前是否加密？为何使用该未加密存储？

Firebase JS SDK 默认把 AsyncStorage 作为 Auth 令牌持久化的存储方案，你疑惑为啥这么设计？结合 React Native 官方的安全提示，给你理清楚关键逻辑：

• 基础适配与快速上手：AsyncStorage 是 React Native 环境里最通用的跨平台本地存储方案，Firebase 选择它作为默认选项，是为了让开发者快速实现登录持久化，不用额外集成第三方存储库就能跑通基础功能。

• 令牌自身的安全特性兜底：Firebase 存储的两类核心令牌有一定安全缓冲：

  • ID Token 有效期仅1小时，就算被本地读取，可用窗口很短；
  • Refresh Token 虽然有效期长，但它的验证完全在 Firebase 后端完成，非法获取者没法直接用它生成新的 ID Token，而且开发者可以在 Firebase 控制台主动撤销可疑的 Refresh Token。

• 安全责任的划分：React Native 官方提示 AsyncStorage 未加密、不能存敏感数据，是在强调风险，但 Firebase 的设计是把“增强安全”的选择权交给开发者：
  官方只提供基础持久化方案，如果你的项目对本地存储安全要求高，完全可以自定义加密存储逻辑（比如用专门的密钥链存储库），替换掉 AsyncStorage 作为持久化载体。

比如用加密存储替换的代码示例：

import * as Keychain from 'react-native-keychain';

// 封装符合Firebase持久化接口的加密存储
const encryptedStorage = {
  getItem: async (key) => {
    const result = await Keychain.getGenericPassword();
    return result ? result.password : null;
  },
  setItem: async (key, value) => {
    await Keychain.setGenericPassword(key, value);
  },
  removeItem: async (key) => {
    await Keychain.resetGenericPassword();
  }
};

// 初始化Auth时传入自定义持久化
export const auth = initializeAuth(app, {
  persistence: getReactNativePersistence(encryptedStorage),
});

内容的提问来源于stack exchange，提问作者NedChan