Swift应用如何实现关联网站登录信息共享与密码自动填充

整个功能拆成 系统密码自动填充适配、Basic Auth 接口对接 两个独立模块实现，不需要改动你现有网站的用户注册登录体系，落地成本很低。

1. 应用内密码自动填充适配 #

核心逻辑是做应用和自有站点的双向域名绑定，让系统密码管理器识别到你的应用是对应站点的官方关联客户端，自动把用户存在系统密码库中该站点的账号密码弹出作为填充选项，不需要用户手动输入。

• 安卓端适配：
  • 在项目AndroidManifest.xml中配置Digital Asset Links关联，把应用包名、发布签名哈希和你的网站域名做绑定，在站点的.well-known目录下放置对应的校验文件，证明应用和站点归属同一主体
  • 给登录页的用户名输入框、密码输入框添加autofillHints属性，分别标记为用户名、密码类型，系统自带的密码填充服务（谷歌密码管理器、各厂商系统自带的密码保险箱）就会自动匹配对应域名的存储凭证，弹出填充提示
• iOS端适配：
  • 在Xcode中开启Associated Domains能力，添加webcredentials:你的站点域名项，同时在站点根目录或.well-known目录下放置标准格式的apple-app-site-association文件，完成应用和站点的双向校验
  • 给登录页的输入框设置textContentType，分别标记为.username、.password，即可触发iCloud钥匙串的自动填充能力，用户存在钥匙串里的站点账号会直接出现在输入法候选栏
• 跨端/桌面端适配：如果是Flutter、Electron、React Native这类跨端框架，直接使用框架提供的自动填充组件，按上述平台要求配置域名关联即可，不需要额外写复杂的原生逻辑；原生Windows/macOS应用直接对接系统自带的凭据管理器API，声明关联域名后即可读取对应站点的存储凭证。

2. Basic Authentication 对接逻辑 #

拿到自动填充获取到的用户名、密码后，直接按照Basic Auth标准构造请求即可，不需要额外做复杂的鉴权逻辑改造：

Basic Auth 标准规则：将用户名:密码格式的字符串做Base64编码，附加到请求头的Authorization字段中，固定格式为 Authorization: Basic <Base64编码后的凭证字符串>

示例请求代码：

// 从自动填充回调拿到username、password
const encodedCredential = window.btoa(`${username}:${password}`)
// 向后端发请求时携带鉴权头
fetch("https://你的站点域名/接口路径", {
  headers: {
    "Authorization": `Basic ${encodedCredential}`
  }
})

后端侧只需要复用现有账号校验逻辑即可：拦截请求后从Authorization头中提取凭证，去掉Basic 前缀后做Base64解码，拆分出用户名、密码，走和网页端完全一致的账号密码校验流程，校验通过就返回正常接口响应。

注意事项 #

• 所有携带Basic Auth凭证的请求必须走HTTPS协议：Base64是可逆编码，HTTP明文传输下凭证可以被直接解码，存在严重泄露风险
• 不要在应用本地额外存储用户明文密码，凭证托管完全交给系统密码管理器即可，避免本地存储带来的泄露风险
• 如果要支持用户手动输入账号后自动保存密码到系统密码库，只需要在登录成功后调用系统自动填充服务的保存接口，传入当前域名、用户名、密码即可，用户确认后就会存入系统密码库，下次打开应用可以直接填充

参考文档 #

• 安卓开发者平台官方文档：自动填充框架章节，包含域名关联配置、输入框适配的全流程步骤
• 苹果开发者官方文档：Password AutoFill、Associated Domains章节，包含iOS/macOS端密码填充的完整配置规范
• RFC 7617 标准文档：HTTP Basic Authentication 协议官方规范，定义了鉴权头的格式、校验规则等全部标准要求

内容的提问来源于stack exchange，提问作者Dan Donaldson