Android无法使用内部存储时，证书、Cookie等敏感数据的安全存储方案咨询

一、敏感数据的最佳存储方式 #

针对证书、Cookie这类敏感数据，安卓平台推荐以下合规且安全的存储方案：

• Android Keystore 系统：官方首选方案，所有加密操作在硬件安全模块（HSM）或可信执行环境（TEE）内完成，密钥绝不会暴露到应用进程空间。可用来加密证书私钥、Cookie中的敏感字段（如验证令牌），彻底避免明文存储风险。
• EncryptedSharedPreferences：基于Keystore实现的SharedPreferences变体，自动对键值对加密，适合存储会话Cookie、短证书内容这类小型敏感数据，使用简单且兼容性良好。
• EncryptedFile：同样基于Keystore，专门用于加密CA证书这类较大文件，存储在应用私有目录时，配合系统沙箱机制，能有效阻止未授权访问。

要避免数据泄露或丢失，还需注意：

• 强制启用设备锁屏密码/生物识别验证，强化设备层面防护；
• 定期备份加密后的敏感数据（借助安卓备份服务，确保备份本身处于加密状态）；
• 绝对禁止将敏感数据写入外部存储（SD卡等），即便加密也存在被第三方应用访问的风险；
• 应用退出时及时清理内存中的敏感数据副本，防止内存dump导致泄露。

二、敏感数据存储位置检查步骤 #

• 前往/data/data/[应用包名]/webview/Default/Session Storage，检查日志文件中存储的会话数据；
• 前往/data/data/[应用包名]/webview/Default，检查Cookie中存储的请求验证令牌；
• 检查/data/data/[应用包名]/files/ssl/certs/ca-certificates.crt的内容。

内容的提问来源于stack exchange，提问作者Aman Srivastava