Blazor Hybrid项目中敏感数据及API凭据的安全存储方案咨询

针对你同时开发Blazor Hybrid和Blazor Server、共享Razor组件，且需要安全处理API授权凭据的问题，以下是几个实用的解决方案，按安全优先级排序：

1. 采用后端托管的身份验证流程（最优方案） #

不要让Blazor Hybrid客户端持有任何长期API凭据，而是通过标准的身份验证协议（如OAuth2、OpenID Connect）获取短期访问令牌：

• 部署独立的认证服务器（比如IdentityServer、Azure AD），或者用ASP.NET Core Identity搭建认证服务。
• Blazor Hybrid应用通过跳转认证页面完成登录，获取短期、可过期的访问令牌，令牌仅存在内存中，过期自动失效。
• 调用API时，将令牌放在请求头（如Authorization: Bearer {token}）中传递，API服务验证令牌合法性后再与数据库交互。
• 由于Blazor Server和Hybrid共享UI，认证逻辑的Razor组件可以直接复用，无需额外修改。

2. 用自有后端服务做API代理 #

如果目标API是你可控的，或者需要额外的业务逻辑层，可搭建一个ASP.NET Core Web API作为代理：

• Blazor Hybrid仅与你的自有后端API通信，无需知道目标数据库API的凭据。
• 自有后端API将敏感凭据存储在appsettings.json中（和Blazor Server一样安全，因为后端代码不会暴露给客户端），由后端负责带着凭据调用目标数据库API。
• 这种方式下，客户端代码完全不涉及任何敏感信息，所有凭据都托管在服务端，彻底避免泄露风险。

3. 设备原生安全存储（次优方案，适用于非极高敏感场景） #

如果必须在客户端存储短期令牌或轻量凭据，使用平台原生的安全存储机制，而非明文存储或硬编码：

• Blazor Hybrid基于MAUI，可直接调用SecureStorage API访问各平台的安全存储：

  // 存储凭据
  await SecureStorage.SetAsync("api_access_token", "your_short_lived_token");
  // 读取凭据
  var token = await SecureStorage.GetAsync("api_access_token");
  

• 各平台的底层实现：
  • Android：使用系统KeyStore
  • iOS：使用Keychain
  • Windows：使用Credential Manager
• 注意：该方式仅降低风险，若设备被Root/Jailbreak，仍存在被提取的可能，仅适合非核心敏感凭据。

4. 配置注入而非硬编码（基础规范） #

绝对不要在代码中硬编码任何敏感信息，即使是非敏感配置，也要通过MAUI的配置系统注入：

• 在MauiProgram.cs中加载配置文件：

  builder.Configuration.AddJsonFile("appsettings.json", optional: true, reloadOnChange: true);
  var apiSettings = builder.Configuration.GetSection("ApiSettings").Get<ApiSettings>();
  builder.Services.AddSingleton(apiSettings);
  

• 打包时根据不同平台替换对应的appsettings.json，但注意：配置文件仍可能被反编译获取，因此仅适用于非敏感配置，敏感凭据必须结合前三种方案使用。

内容的提问来源于stack exchange，提问作者Lukas