Flutter Secure Storage Web发布版write报generateKey空方法错误

AI 小北

2026-9-1

问题现象

使用flutter_secure_storage实现数据存储时，仅在Web发布构建包通过Apache2等服务器托管时触发异常
flutter run -d chrome调试模式运行Web端、iOS与Android端发布版本均能正常运行
触发报错信息：NoSuchMethodError: method not found: 'generateKey' on null

相关业务实现代码：

if (isMasterPasswordCorrect == true) {
  print('master password is correct-----');
  print(masterPasswordController.text);
  final secureStorage = new FlutterSecureStorage();
  try {
    print('writing master password data into secure storage');
    await secureStorage.write(
        key: 'masterPassword',
        value: masterPasswordController.text);
    print('reading master password from secure storage');
    _isMasterPasswordPresent = await secureStorage.read(
        key: 'masterPassword');

    print('${_isMasterPasswordPresent}');
  } catch (e) {
    print(e);
  }
}

控制台输出日志：

main.dart.js:21714 master password is correct-----
main.dart.js:21714 14000
main.dart.js:21714 writing master password data into secure storage
main.dart.js:21714 NoSuchMethodError: method not found: 'generateKey' on null

问题产生原因

核心原因是flutter_secure_storage的Web端实现强依赖浏览器的Web Cryptography API（window.crypto.subtle）完成密钥生成、数据加解密逻辑，而浏览器出于安全策略限制，仅在安全上下文环境中暴露该API：

调试模式下flutter run -d chrome默认使用localhost提供服务，属于浏览器认可的可信安全上下文，Web Cryptography API可正常访问，因此不会报错
iOS、Android端使用平台原生的安全存储能力，不依赖浏览器的Web Crypto API，因此发布版本运行不受影响
若Apache2等服务器以普通HTTP协议托管Web发布包（访问地址非localhost、未启用HTTPS），属于非安全上下文，浏览器会将window.crypto.subtle的值置为null，调用generateKey方法时就会触发该空指针错误。

修复方案

可根据实际部署场景选择对应方案：

方案1（推荐）：为托管Web站点的Apache2服务配置SSL证书，通过HTTPS协议对外提供服务，满足浏览器安全上下文要求，完全匹配flutter_secure_storage的Web端设计预期，不降低存储安全性
方案2（仅适合内网可信场景）：如果是内部部署等暂时无法配置HTTPS的场景，可在初始化FlutterSecureStorage时针对Web端关闭加密选项，跳过Web Crypto API调用，示例代码：

import 'package:flutter/foundation.dart' show kIsWeb;

final secureStorage = FlutterSecureStorage(
  webOptions: WebOptions(
    // 非HTTPS环境下关闭Web端加密，避免调用空对象的generateKey方法
    encrypt: kIsWeb ? false : true,
  ),
);

注意：该方案会让Web端存储的数据明文保存在浏览器localStorage中，存储安全性下降，禁止在公网不可信场景使用。

方案3：若业务场景不需要Web端的高等级安全存储能力，可针对Web平台做逻辑兼容，替换为其他适配非安全上下文的本地存储方案。

内容的提问来源于stack exchange，提问作者tr1via