iOS 下 kSecClassGenericPassword 类型 Keychain 条目访问失败问题咨询

1. 读取失败常见场景 #

• 可访问性属性不匹配
  你当前的存储代码未显式指定kSecAttrAccessible属性，会使用系统默认的kSecAttrAccessibleWhenUnlocked，以下场景会读取失败：
  • 用户设备处于锁定状态
  • 设备刚重启，用户还未输入首次解锁密码
  • 跨设备迁移/恢复备份时，可访问性级别不满足系统恢复规则
• 查询条件不匹配
  kSecClassGenericPassword类型条目的唯一主键是kSecAttrAccount + kSecAttrService的组合：
  • 如果你存储时指定了kSecAttrService、kSecAttrAccessGroup等参数，查询时未携带对应参数会查不到数据
  • 你当前的读写代码都未指定kSecAttrService，如果存在相同kSecAttrAccount、不同业务域的存储操作，会出现数据覆盖、查询不到的问题
• 存储操作未成功执行
  你提供的存储方法中未判断SecItemDelete的返回结果，也未校验SecItemAdd的执行状态，以下情况会导致数据实际未写入：
  • 存储的data大小超出单条Keychain条目上限（通用建议单条不超过4KB）
  • 存储时系统权限不足，导致SecItemAdd返回错误
• App身份变更
  • App的Bundle ID、开发者团队ID发生变更，或者Keychain Group配置错误，会导致App失去原有Keychain条目的访问权限
  • macOS下开启Sandbox后未配置钥匙串访问权限，也会读取失败
• 系统异常
  小概率场景下用户设备Keychain数据库损坏，会出现全量Keychain读取失败的问题

2. 高频调用的影响 #

正常每秒多次的读取操作不会直接导致Keychain服务压力过大而失败，但存在以下间接引发错误的可能：

• 读写并发冲突：如果高频读取的同时有其他线程在执行存储操作（你的存储逻辑是先删再增，中间存在空窗期），会出现读取时条目已被删除、还未写入新数据的情况，返回errSecItemNotFound错误
• 多线程竞争：如果多线程无锁并发调用Keychain读写接口，可能出现请求冲突，导致系统返回调用失败的错误码
• 额外性能损耗：Keychain操作本质是和系统securityd进程的跨进程通信，单条操作耗时远高于内存读写，高频无缓存调用会造成不必要的性能浪费，建议增加内存缓存层，优先读缓存，缓存 miss 再访问Keychain，更新数据时同时更新缓存和Keychain。

代码优化建议 #

你当前的实现可以做两处调整降低问题概率：

1. 存储时显式指定kSecAttrAccessible，通用场景推荐使用kSecAttrAccessibleAfterFirstUnlock，设备首次解锁后即可访问，支持后台读取
2. 读写查询都补充kSecAttrService参数，赋值为你的App唯一标识，避免和其他业务的同名key冲突

内容的提问来源于stack exchange，提问作者user426132