能否在React Native中使用AWS KMS？具体实现方法是什么？

环境依赖准备 #

不要使用 AWS JS SDK v2，其依赖 Node.js 原生核心模块无法在 React Native 环境运行，推荐使用模块化的 AWS SDK for JavaScript v3。

• 安装所需依赖：
  npm i @aws-sdk/client-kms @aws-sdk/credential-provider-cognito-identity @aws-sdk/client-cognito-identity amazon-cognito-identity-js react-native-get-random-values
• 入口文件适配：
  在项目入口文件（通常是index.js）最顶部添加随机值polyfill，否则加密相关API会报错：
  import 'react-native-get-random-values'

核心实现代码 #

1. 初始化KMS客户端 #

禁止硬编码AWS永久访问密钥，必须通过Cognito身份池下发临时凭证访问KMS

import { CognitoIdentityClient } from "@aws-sdk/client-cognito-identity";
import { fromCognitoIdentityPool } from "@aws-sdk/credential-provider-cognito-identity";
import { KMSClient, EncryptCommand, DecryptCommand } from "@aws-sdk/client-kms";

const kmsClient = new KMSClient({
  region: "你的AWS区域代码，示例：ap-northeast-1",
  credentials: fromCognitoIdentityPool({
    client: new CognitoIdentityClient({ region: "你的AWS区域代码" }),
    identityPoolId: "你的Cognito身份池ID",
  }),
});

2. 加密方法实现 #

返回的base64格式密文可直接本地存储或上传到服务端

const encryptData = async (plainText, kmsKeyId) => {
  try {
    const encoder = new TextEncoder();
    const textBytes = encoder.encode(plainText);
    const command = new EncryptCommand({
      KeyId: kmsKeyId, // 你的KMS对称密钥ID/ARN
      Plaintext: textBytes,
    });
    const res = await kmsClient.send(command);
    // Uint8Array格式密文转base64
    return btoa(String.fromCharCode(...res.CiphertextBlob));
  } catch (e) {
    console.error("KMS加密失败", e);
    throw e;
  }
};

3. 解密方法实现 #

const decryptData = async (ciphertextBase64) => {
  try {
    // base64转回Uint8Array格式密文
    const ciphertextBytes = Uint8Array.from(atob(ciphertextBase64), c => c.charCodeAt(0));
    const command = new DecryptCommand({
      CiphertextBlob: ciphertextBytes,
    });
    const res = await kmsClient.send(command);
    const decoder = new TextDecoder();
    return decoder.decode(res.Plaintext);
  } catch (e) {
    console.error("KMS解密失败", e);
    throw e;
  }
};

关键注意事项 #

• 权限配置：Cognito身份池绑定的IAM角色需要配置KMS对应操作的权限（加密需要kms:Encrypt权限，解密需要kms:Decrypt权限），同时KMS密钥的资源策略也需要允许该IAM角色执行对应操作。
• 大小限制：KMS对称加密单请求最大支持加密4KB的明文，如果需要加密大体积内容，必须使用信封加密方案：先调用KMS生成数据密钥，本地用数据密钥加密大内容，仅存储加密后的数据密钥，解密时先调用KMS解密数据密钥，再用明文数据密钥解密本地内容。
• 安全规范：禁止在客户端代码中硬编码AWS永久访问密钥，避免密钥泄露引发全平台安全风险。

内容的提问来源于stack exchange，提问作者Harsh Kairamkonda