Flutter应用离线时如何通过Auth0保持用户登录状态？

核心结论 #

仅通过SharedPreferences存储登录状态布尔值无法满足离线保持登录的需求，存在严重安全漏洞与业务逻辑缺陷，完全不建议采用该方案。

仅存布尔值的核心问题 #

• 安全风险极高：SharedPreferences是明文存储，设备root/越狱后可以直接篡改对应布尔值，无需任何身份校验就能直接进入登录后状态，完全绕过Auth0验证体系，用户数据安全毫无保障。
• 业务逻辑不成立：登录后绝大多数功能需要调用后端接口，即便前端强行放用户进入登录态，没有合法的Auth0身份凭证，所有后端请求都会返回401未授权，应用依旧无法正常使用。
• 无法适配身份过期规则：Auth0返回的身份凭证均有有效时长，即使用户此前登录过，一旦凭证过期，网络恢复后也无法正常发起业务请求，直接放行会导致大量未知报错。

正确实现方案 #

• 不要用SharedPreferences存储敏感身份信息，改用flutter_secure_storage这类加密安全存储库，存储Auth0返回的access_token、refresh_token以及凭证过期时间戳。
• 应用启动时先校验本地是否存在未过期的access_token，校验通过即可直接进入登录后状态，离线场景下可加载本地缓存的用户数据与离线可用功能，无需重复走登录流程。
• 若本地access_token已过期，网络恢复后自动调用Auth0接口通过refresh_token刷新凭证，无需用户重新输入账号密码；若刷新失败（如refresh_token过期、账号被注销等）再跳转登录页要求用户重新验证身份。
• 若应用存在纯离线功能模块，可在本地身份凭证校验通过的前提下开放使用，等网络恢复后再同步离线操作数据到服务端即可。

内容的提问来源于stack exchange，提问作者Xh Lin