如何在自定义Google Cast Web Receiver应用中安全存储密钥？

方案一：硬编码密钥的可行性 #

完全不可行。Web Receiver本质是公开可访问的网页，任何人只要拿到URL就能在浏览器中查看源码，哪怕用代码混淆、字符串加密这类手段，也能被逆向破解。硬编码密钥等于直接把密钥暴露给所有能访问该页面的人，绝对不能这么做。

方案二：通过GCKCastChannel传输密钥的安全性分析 #

1. GCKCastChannel消息的安全性 #

Google Cast的自定义通道通信默认采用TLS加密，消息在传输过程中处于加密状态。黑客要拦截并解密消息难度极高，除非能攻破TLS层或者拿到设备的根证书，这种场景在普通用户环境下几乎不会发生，所以传输环节是安全的。

2. Chromecast上Receiver的JS变量安全性 #

Chromecast设备上的Web Receiver运行在Google提供的封闭沙箱环境中，用户无法直接查看应用源码、调试JS代码或读取内存中的变量。Google做了严格的限制，禁止外部调试访问，所以存储在内存变量里的密钥不会被用户获取。但要注意：不要把密钥输出到日志，也不要存在localStorage、sessionStorage这类可持久化的存储中，避免意外泄露。

其他更安全的替代方案 #

• 后端代理模式：让Web Receiver不直接持有密钥，而是通过你的后端服务完成需要密钥的操作。iOS端先向你的后端验证身份，后端生成临时的、有有效期的凭证发送给Receiver，Receiver用这个凭证请求后端服务，密钥全程只在后端存储和使用，从根本上避免密钥暴露。
• 利用Cast内置认证：结合GCKCastContext的设备认证信息，在后端验证发送端（iOS应用）和Receiver的合法性，不需要传递密钥到Receiver端，直接通过后端完成权限校验。

内容的提问来源于stack exchange，提问作者Matevz