React Native中用expo-secure-store以用户身份令牌为键存数据是否安全？

以用户身份令牌为键存储数据的方案是否安全？ #

这个方案能实现基本的用户数据隔离，但并非绝对安全：

• 可行之处：同一设备上不同用户的身份令牌（比如Firebase UID或ID Token）是唯一的，其他用户不知道这个令牌，自然没法通过对应键访问数据，能避免误访问的情况。
• 潜在隐患：如果设备被root或越狱，expo-secure-store的加密防护可能失效，令牌和加密数据都有被窃取的风险；另外，Firebase的ID Token会过期，要是用它当键，过期后旧数据就无法访问，换成不会过期的UID会更稳妥。

expo-secure-store是同时加密键和值，还是仅加密值？ #

expo-secure-store只加密值，键是以明文形式存储在系统安全存储/密钥链中的。也就是说你设置的键（比如用户令牌）不会被加密，只有对应的值会经过加密处理。

存储空间不足的解决方案 #

针对单键值2048字节的限制，给你几个可行的办法：

• 拆分数据为多个键值对：把用户数据拆成几个小模块，用用户UID_数据模块名作为键，比如uid_123_profile、uid_123_app_settings，每个模块单独存储，绕开单条数据的大小限制。
• expo-file-system结合本地加密：将用户数据序列化为JSON字符串，用AES这类加密算法加密后，保存到应用专属的文件目录里。文件系统的存储上限远高于secure-store，还可以用用户UID作为加密密钥，进一步提升安全性。
• 依赖Firebase远程存储：把用户数据存在Firebase Firestore或实时数据库中，本地只缓存必要的小数据（比如登录状态）。利用Firebase的身份验证规则，确保每个用户只能读写自己的数据，完全规避本地存储的容量问题。
• 裸项目可选react-native-keychain：如果你的项目后续会退出Expo环境，react-native-keychain支持更大的存储容量，同样提供安全加密存储，但需要自行处理原生端的配置。

内容的提问来源于stack exchange，提问作者TellMeWhy