如何监听Android KeyChain自有条目变更并验证其是否存在？

这个问题确实有点棘手，因为Android KeyChain API并没有提供直接的containsAlias方法来检查条目是否存在，但我们可以通过尝试访问目标别名的凭据并捕获异常的方式来间接判断，这是目前最可靠的方案。

核心思路 #

KeyChain存储的凭据无法通过AndroidKeyStore或AndroidCAStore直接访问（正如你发现的，这两个存储和KeyChain是完全独立的），必须使用KeyChain官方API。当目标别名对应的条目被删除时，调用KeyChain.getPrivateKey()或KeyChain.getCertificateChain()会抛出KeyChainException或SecurityException，我们可以通过捕获这些异常来判断条目是否不存在。

具体实现代码 #

首先，我们可以封装一个挂起函数（用Coroutines处理异步操作，避免阻塞主线程）来检查别名是否存在：

import android.content.Context
import android.security.KeyChain
import android.security.KeyChainException
import kotlinx.coroutines.Dispatchers
import kotlinx.coroutines.withContext

suspend fun isMyKeyChainEntryExists(alias: String, context: Context): Boolean {
    return withContext(Dispatchers.IO) {
        try {
            // 同时检查证书链和私钥，确保条目完整存在
            val certificateChain = KeyChain.getCertificateChain(context, alias)
            val privateKey = KeyChain.getPrivateKey(context, alias)
            certificateChain != null && privateKey != null
        } catch (e: KeyChainException) {
            // 条目不存在或无法访问时抛出此异常
            false
        } catch (e: SecurityException) {
            // 应用无权限访问该条目（如果是自己的条目，之前应该已授权）
            false
        } catch (e: InterruptedException) {
            // 操作被中断，恢复中断状态
            Thread.currentThread().interrupt()
            false
        }
    }
}

然后在你的广播接收器中，调用这个函数来判断是否是自己的条目被删除：

import android.content.BroadcastReceiver
import android.content.Context
import android.content.Intent
import kotlinx.coroutines.CoroutineScope
import kotlinx.coroutines.Dispatchers
import kotlinx.coroutines.launch
import android.widget.Toast

class MyKeyChainChangeReceiver : BroadcastReceiver() {
    override fun onReceive(context: Context?, intent: Intent?) {
        if (intent?.action == KeyChain.ACTION_KEYCHAIN_CHANGED) {
            context?.let { ctx ->
                // 在IO线程执行检查，避免阻塞广播接收器
                CoroutineScope(Dispatchers.IO).launch {
                    val targetAlias = "xyz" // 你的目标别名
                    val exists = isMyKeyChainEntryExists(targetAlias, ctx)
                    if (!exists) {
                        // 切换到主线程处理UI或业务逻辑
                        withContext(Dispatchers.Main) {
                            Toast.makeText(ctx, "我的KeyChain条目已被删除", Toast.LENGTH_SHORT).show()
                            // 这里添加你的应用响应逻辑，比如重置状态、重新引导用户导入凭据等
                        }
                    }
                }
            }
        }
    }
}

关键注意事项 #

• 必须在后台线程调用KeyChain API：KeyChain的方法是耗时操作，且可能涉及系统交互，直接在主线程调用会抛出异常，所以我们用Coroutines的Dispatchers.IO来处理。
• 权限问题：如果你的应用之前没有获取过该别名条目的访问权限，会抛出SecurityException。对于自己应用导入的条目，通常已经获得了授权，所以这种情况可以视为条目不存在或无法访问。
• 异常处理：除了KeyChainException，还要处理InterruptedException，确保线程中断状态被正确恢复。

为什么之前的方法无效？ #

你尝试的AndroidCAStore仅存储系统和用户安装的CA证书，不包含KeyChain中的用户私钥/证书条目；而AndroidKeyStore是另一个独立的安全存储，和KeyChain的存储机制不同，所以无法访问KeyChain中的内容，必须使用KeyChain专属API。

内容的提问来源于stack exchange，提问作者BBB