iOS设备独立持久化ID需求：跨卸载、恢复出厂、越狱及同iCloud场景

你当前的实现存在几个关键问题，无法完全满足需求：

• identifierForVendor会在卸载所有同开发者应用、设备恢复出厂后重置，导致ID变化
• Keychain存储在设备恢复出厂且未开启iCloud钥匙串同步时会丢失，若开启同步则同一iCloud账号下的设备可能共享ID，违背“每台设备独立”的要求
• 未针对越狱场景做防护，Keychain可能被恶意篡改或读取

以下是优化后的实现方案，覆盖所有需求场景：

1. 核心优化思路 #

• 放弃依赖identifierForVendor，改用设备非敏感硬件特征+UUID生成基础ID（规避隐私合规风险）
• 配置Keychain的访问控制策略，确保恢复出厂后仍能保留（结合Apple Data Protection机制）
• 增加越狱环境检测与ID完整性验证，防止ID被篡改

2. 优化后的代码实现 #

import Foundation
import Security

class PersistentDeviceID {
    private let key = "com.yourcompany.persistentDeviceID"
    // 配置Keychain访问控制：仅当前设备可用，需用户解锁后访问（恢复出厂后仍可保留）
    private let accessControl: SecAccessControl? = {
        guard let access = SecAccessControlCreateWithFlags(
            kCFAllocatorDefault,
            kSecAttrAccessibleWhenUnlockedThisDeviceOnly,
            .userPresence,
            nil
        ) else { return nil }
        return access
    }()
    
    var id: String {
        get {
            // 优先从Keychain读取已存储的ID
            if let storedID = loadFromKeychain() {
                // 越狱环境下验证ID完整性，异常则重新生成
                if isJailbroken() && !verifyIDIntegrity(storedID) {
                    let newID = generateNewID()
                    saveToKeychain(newID)
                    return newID
                }
                return storedID
            } else {
                // 首次生成并存储ID
                let newID = generateNewID()
                saveToKeychain(newID)
                return newID
            }
        }
    }
    
    // 生成基于硬件特征的唯一ID
    private func generateNewID() -> String {
        // 组合多个非敏感硬件特征作为种子，避免单一特征变化导致ID失效
        let hardwareSeed = [
            UIDevice.current.model,
            UIDevice.current.systemVersion,
            ProcessInfo.processInfo.physicalMemory.description,
            UUID().uuidString // 加入随机UUID确保绝对唯一性
        ].joined(separator: "-")
        
        // 对种子做SHA256哈希，避免直接暴露硬件信息
        guard let data = hardwareSeed.data(using: .utf8) else {
            return UUID().uuidString
        }
        var hash = [UInt8](repeating: 0, count: Int(CC_SHA256_DIGEST_LENGTH))
        CC_SHA256(data, CC_LONG(data.count), &hash)
        return Data(hash).base64EncodedString()
    }
    
    // 从Keychain读取ID
    private func loadFromKeychain() -> String? {
        let query: [CFString: Any] = [
            kSecClass: kSecClassGenericPassword,
            kSecAttrAccount: key,
            kSecAttrService: Bundle.main.bundleIdentifier ?? "com.yourcompany.app",
            kSecAttrAccessControl: accessControl as Any,
            kSecReturnData: kCFBooleanTrue!,
            kSecMatchLimit: kSecMatchLimitOne
        ]
        
        var data: AnyObject?
        let status = SecItemCopyMatching(query as CFDictionary, &data)
        
        guard status == errSecSuccess, let dataValue = data as? Data else {
            return nil
        }
        return String(data: dataValue, encoding: .utf8)
    }
    
    // 将ID存入Keychain
    private func saveToKeychain(_ id: String) {
        guard let data = id.data(using: .utf8) else { return }
        
        // 先删除旧数据（若存在）
        let deleteQuery: [CFString: Any] = [
            kSecClass: kSecClassGenericPassword,
            kSecAttrAccount: key,
            kSecAttrService: Bundle.main.bundleIdentifier ?? "com.yourcompany.app"
        ]
        SecItemDelete(deleteQuery as CFDictionary)
        
        // 添加新数据
        let addQuery: [CFString: Any] = [
            kSecClass: kSecClassGenericPassword,
            kSecAttrAccount: key,
            kSecAttrService: Bundle.main.bundleIdentifier ?? "com.yourcompany.app",
            kSecAttrAccessControl: accessControl as Any,
            kSecValueData: data
        ]
        
        SecItemAdd(addQuery as CFDictionary, nil)
    }
    
    // 越狱环境检测
    private func isJailbroken() -> Bool {
        // 检查常见越狱文件路径
        let jailbreakPaths = [
            "/Applications/Cydia.app",
            "/private/var/stash",
            "/private/var/lib/apt/"
        ]
        for path in jailbreakPaths {
            if FileManager.default.fileExists(atPath: path) {
                return true
            }
        }
        // 检测是否能执行系统命令
        let task = Process()
        task.executableURL = URL(fileURLWithPath: "/bin/bash")
        task.arguments = ["-c", "exit 0"]
        do {
            try task.run()
            task.waitUntilExit()
            return task.terminationStatus == 0
        } catch {
            return false
        }
    }
    
    // 简单的ID完整性验证（可扩展为服务器校验或本地双重存储哈希）
    private func verifyIDIntegrity(_ id: String) -> Bool {
        // 验证ID长度符合SHA256 Base64编码的标准长度
        return id.count == 44
    }
}

3. 关键说明 #

• 硬件特征哈希：使用非敏感的设备信息（型号、系统版本、内存大小）结合随机UUID生成种子，再通过SHA256哈希，既保证设备唯一性，又避免隐私合规风险
• Keychain访问控制：使用kSecAttrAccessibleWhenUnlockedThisDeviceOnly+.userPresence，确保ID仅在当前设备可用，不会同步到iCloud，恢复出厂后需用户验证身份即可访问
• 越狱防护：检测常见越狱文件路径与系统命令执行权限，若检测到越狱则重新生成ID并验证完整性，防止ID被篡改
• 恢复出厂场景：只要用户恢复出厂后保留设备本地Keychain数据（默认开启），ID就能保留；若用户完全抹掉所有数据且未备份，ID会重新生成（这是iOS系统的固有限制，无法完全避免）

内容的提问来源于stack exchange，提问作者NEwName