在React Native变量中临时存储JWT是否安全？

问题解答 #

可以将JWT临时存储在全局变量或组件状态中，该方案适配你的当前场景，风险可控。

核心逻辑说明 #

• react-native-secure-storage属于持久化安全存储，解决的是App进程销毁后仍需安全留存敏感数据的问题。而内存中的变量、组件状态会在App退出、进程销毁时自动清空，本身不会产生持久化泄露风险。
• 你可以在App启动/用户登录完成后，一次性将JWT从安全存储中读取出来，挂载到全局变量（例如global.userAuthToken）或者全局状态（Context、Redux、MobX等）中，后续所有业务请求包括图片组件的鉴权逻辑都可以直接同步读取，无需每次都执行异步读取安全存储的操作。

可选优化方案 #

如果要进一步降低内存存储的安全风险，可以补充两个操作：

• 监听App前后台切换事件，App切到后台时清空内存中的JWT，切回前台时再重新从安全存储中异步读取回填
• 不要直接在<Image>组件的source属性中拼接带JWT的请求地址，改用自定义请求逻辑先携带JWT请求图片Blob，转成本地临时URI后再传给<Image>组件，既避免JWT暴露在URL中，也能满足组件同步渲染的要求。

禁止操作 #

不要将JWT存储在AsyncStorage这类明文持久化存储中，也不要硬编码在业务代码里，仅做内存级的临时存储即可。

内容的提问来源于stack exchange，提问作者Matthew Kline