Swift 4集成Discogs API OAuth：令牌存储与登录态保持最佳实践

问题背景 #

从Web开发转iOS的话，确实会遇到这类存储和状态检查的差异问题～你目前已经用OAuthSwift完成了Discogs API的授权流程，能成功获取令牌并调用用户身份接口，但每次启动应用都要重新授权，核心问题是没有持久化存储令牌，以及启动时缺少认证状态检查逻辑——思路和Web用会话存储类似，但iOS有更安全的专属方案。

核心最佳实践 #

1. 选择安全的令牌存储方案：Keychain

绝对不要用UserDefaults存敏感的OAuth令牌（它是明文存在plist文件里，安全性极低），Keychain是系统提供的加密存储容器，只有你的应用能访问（越狱设备除外），完全适合存储令牌这类敏感信息。

可以用第三方库KeychainSwift简化Keychain操作，比直接用系统的Security框架更省心。

2. 封装令牌管理逻辑

把令牌的存储、读取、清除逻辑封装成全局单例类，方便整个应用统一调用，避免重复代码。

3. 启动时自动检查认证状态

应用启动后，先从Keychain读取令牌：

• 如果令牌存在，直接用它初始化OAuthSwift，调用用户身份接口
• 如果令牌不存在，触发授权流程

完整代码示例 #

第一步：创建认证管理器单例

import Foundation
import KeychainSwift

class AuthManager {
    // 单例实例，全局统一访问
    static let shared = AuthManager()
    
    private let keychain = KeychainSwift()
    // 自定义存储令牌的Key
    private let tokenKey = "discogs_oauth_token"
    private let secretKey = "discogs_oauth_token_secret"
    
    // 私有化构造函数，防止创建多个实例
    private init() {}
    
    // 判断当前是否已认证
    var isAuthenticated: Bool {
        return token != nil && secret != nil
    }
    
    // 获取存储的令牌
    var token: String? {
        return keychain.get(tokenKey)
    }
    
    // 获取存储的令牌密钥
    var secret: String? {
        return keychain.get(secretKey)
    }
    
    // 存储令牌到Keychain
    func saveCredentials(token: String, secret: String) {
        keychain.set(token, forKey: tokenKey)
        keychain.set(secret, forKey: secretKey)
    }
    
    // 清除令牌（登出时调用）
    func clearCredentials() {
        keychain.delete(tokenKey)
        keychain.delete(secretKey)
    }
}

第二步：修改ViewController逻辑

import UIKit
import OAuthSwift
import KeychainSwift

class ViewController: UIViewController {
    let oauthSwift = OAuth1Swift(
        consumerKey: "foo",
        consumerSecret: "bar",
        requestTokenUrl: "https://api.discogs.com/oauth/request_token",
        authorizeUrl: "https://www.discogs.com/oauth/authorize",
        accessTokenUrl: "https://api.discogs.com/oauth/access_token"
    )
    
    override func viewDidLoad() {
        super.viewDidLoad()
        view.backgroundColor = .white
        
        // 启动时先检查认证状态
        checkAuthenticationStatus()
    }
    
    // 检查认证状态，决定走授权流程还是直接获取用户数据
    private func checkAuthenticationStatus() {
        if AuthManager.shared.isAuthenticated {
            // 用存储的令牌初始化OAuthSwift
            guard let token = AuthManager.shared.token, let secret = AuthManager.shared.secret else {
                kickOffAuthFlow()
                return
            }
            oauthSwift.client.credential.oauthToken = token
            oauthSwift.client.credential.oauthTokenSecret = secret
            // 获取用户身份数据
            fetchUserIdentity()
        } else {
            // 未认证，触发授权流程
            kickOffAuthFlow()
        }
    }
    
    // 触发OAuth授权流程
    private func kickOffAuthFlow() {
        oauthSwift.authorizeURLHandler = SafariURLHandler(viewController: self, oauthSwift: oauthSwift)
        guard let callbackURL = URL(string: "foo.bar.boobaz:/oauth_callback") else { return }
        
        oauthSwift.authorize(withCallbackURL: callbackURL, success: { [weak self] credential, _, _ in
            // 授权成功，存储令牌到Keychain
            AuthManager.shared.saveCredentials(token: credential.oauthToken, secret: credential.oauthTokenSecret)
            // 获取用户数据
            self?.fetchUserIdentity()
        }) { error in
            print("授权失败：\(error.localizedDescription)")
        }
    }
    
    // 统一调用用户身份接口
    private func fetchUserIdentity() {
        _ = oauthSwift.client.get("https://api.discogs.com/oauth/identity", success: { response in
            guard let dataString = response.string else { return }
            print("用户数据：\(dataString)")
            // 这里可以更新UI，比如显示用户头像、用户名等信息
        }, failure: { [weak self] error in
            print("获取用户数据失败：\(error.localizedDescription)")
            // 如果请求失败（比如令牌过期），清除令牌并重新授权
            AuthManager.shared.clearCredentials()
            self?.kickOffAuthFlow()
        })
    }
}

额外说明 #

• 令牌过期处理：Discogs的OAuth 1.0令牌通常是长期有效的，但如果后续遇到令牌失效的情况，可以在fetchUserIdentity的失败回调里清除Keychain中的令牌，然后重新触发授权流程。
• 代码解耦：把认证逻辑封装到AuthManager后，你可以在应用的任何地方检查认证状态，比如在其他ViewController里判断是否需要跳转到登录页。
• 安全性：Keychain会自动加密存储数据，即使应用被卸载，Keychain里的数据也会被删除，符合iOS的安全规范。

内容的提问来源于stack exchange，提问作者Harry Blue