React Native中如何安全存储第三方API密钥防范逆向攻击？

先给你说透最本质的安全逻辑：React Native 打出来的客户端安装包，不管你把内容藏在JS层、配置文件还是原生层，只要攻击者拿到APK/IPA文件，就不存在100%防逆向、防窃取的可能。所有涉及高权限、可产生资损、泄露后会造成实际损失的第三方API密钥，最优解永远是不要放在客户端。

这是投入产出比最高、也最稳妥的方案，完全从根源上避免密钥泄露风险：

• 把第三方API的secret key存在你自己可控的后端服务环境变量里，永远不接触客户端安装包
• 客户端需要调用第三方接口时，不直接请求第三方服务，先带上自己的用户登录态请求你自己的业务后端
• 后端校验请求合法性（用户权限、请求频率、参数合规性）之后，拿着存在服务端的密钥请求第三方API，拿到结果再返回给客户端
• 就算客户端被破解、被抓包，攻击者最多只能拿到你自己的业务接口，碰不到原始的第三方密钥，你还可以随时在后端拦截恶意请求

客户端侧没有任何特殊的密钥存储逻辑，就是普通的业务接口请求，示例代码：

// 客户端代码，全程不接触第三方密钥
const fetchThirdPartyData = async (businessParams) => {
  // 带上你自己的用户鉴权凭证请求自有后端
  const response = await fetch('https://your-own-business-domain.com/api/third-party-proxy', {
    method: 'POST',
    headers: {
      'Authorization': `Bearer ${currentUser.authToken}`,
      'Content-Type': 'application/json'
    },
    body: JSON.stringify(businessParams)
  })
  if (!response.ok) throw new Error('请求失败')
  return response.json()
}

后端侧只需要在收到合法请求后，读取服务端本地存储的密钥转发请求即可，没有额外的客户端适配成本。

如果你的项目暂时没有条件搭建后端代理，不要用.env、不要用AsyncStorage、不要硬编码在JS代码里，把密钥存到操作系统原生提供的加密安全存储区：

• iOS端存到系统Keychain
• Android端存到系统Keystore，优先走硬件安全模块
  这个方案的安全边界是：设备未被root/越狱时，其他应用无法读取存储内容，安全性远高于普通本地存储，但如果设备被提权、或者攻击者hook运行时上下文，依然有概率拿到密钥，属于无后端场景下的最优选择。

实现直接用社区维护多年的成熟库react-native-keychain即可，新手跟着步骤做就行：

1. 安装依赖

# npm安装
npm install react-native-keychain
# yarn安装
yarn add react-native-keychain
# iOS端安装完成后记得进ios目录执行pod install关联原生依赖
cd ios && pod install

2. 基础使用代码示例

import * as Keychain from 'react-native-keychain';

// 存储密钥：*绝对不要把密钥硬编码在JS代码里调用这个方法*
// 正确流程是用户完成身份校验后，从你自己的服务端动态拉取密钥，再调用这个方法存储
const saveApiSecret = async (secretFromServer) => {
  await Keychain.setGenericPassword(
    'third_party_api_secret', // 存储项的标识，可自定义
    secretFromServer, // 服务端下发的密钥
    {
      accessible: Keychain.ACCESSIBLE.WHEN_UNLOCKED, // iOS权限：仅设备解锁状态可访问
      securityLevel: Keychain.SECURITY_LEVEL.SECURE_HARDWARE // Android强制使用硬件安全模块加密
    }
  )
}

// 业务需要时读取密钥
const getApiSecret = async () => {
  const credentials = await Keychain.getGenericPassword()
  return credentials ? credentials.password : null
}

// 用户登出等场景可删除存储的密钥
const clearApiSecret = async () => {
  await Keychain.resetGenericPassword()
}

这里必须提一个新手最容易踩的坑：如果你把密钥硬编码在JS代码里，哪怕你后续把它存到Keychain，安装包的JS bundle里依然会存在密钥的明文字符串，逆向者直接解包搜字符串就能拿到，完全失去了安全存储的意义。

如果你的场景确实需要把密钥带在安装包里，不要把密钥写在JS层，可以把密钥写到原生代码的C/C++层，同时开启全链路混淆：

• Android端将密钥写入CPP代码，开启ProGuard混淆、Dex加固，不要在Java层定义静态常量字符串存密钥
• iOS端将密钥写入OC文件的C字符串中，开启LLVM混淆
• JS层开启Metro打包混淆，可配合代码混淆工具打乱JS逻辑、增加字符串加密
  这个方案只能抬升逆向成本，防一防刚入门的逆向新手，碰到有经验的攻击者依然可以通过反编译原生层、hook内存拿到密钥，只能当额外的加固手段，不能作为核心安全方案。

• 不要用react-native-dotenv等.env类库存储敏感密钥，这类库的实现原理就是打包时把.env的变量替换成硬编码字符串插入JS bundle，解包后全局搜索就能找到，和直接把密钥写在业务组件里没有区别
• 不要用AsyncStorage存密钥，AsyncStorage是无加密的明文键值存储，设备root/越狱后可以直接读取文件内容
• 不要迷信代码混淆、应用加壳的效果，这类手段只能提高逆向成本，做不到绝对防窃取

内容的提问来源于stack exchange，提问作者Yus