iOSKeychain(钥匙串)原理和APP之间共享信息(例如:账号密码)

Keychain 介绍

Keychain Services 是 macOS 和 iOS 都提供一种安全地存储敏感信息的工具，比如,网络密码:用于保存访问服务器或者网站,通用密码:用来保存应用程序或者数据库密码.与此同时,用于认证的证书,密钥,和身份信息,也可以存储在Keychain中.Keychain Services 的安全机制保证了存储这些敏感信息不会被窃取。简单说来，Keychain 就是一个安全容器。 PS:在iOS中keychian 依赖用于签名的provisioning profile描述文件,确保发布不同版本的时候使用同一个pp文件

Keychain 的结构

Keychain 可以包含任意数量的 keychain item。每一个 keychain item 包含数据和一组属性。对于一个需要保护的 keychain item，比如密码或者私钥（用于加密或者解密的string字节）数据是加密的，会被 keychain 保护起来的；对于无需保护的 keychain item，例如，证书，数据未被加密。

跟keychain item有关系的取决于item的类型；应用程序中最常用的是网络密码（Internet passwrods）和普通的密码。正如你所想的，网络密码像安全域（security domain）、协议、和路径等一些属性。在macOS中，当keychain被锁的时候加密的item没办法访问，如果你想要该问被锁的item，就会弹出一个对话框，需要你输入对应keychain的密码。当然，未有密码的keychain你可以随时访问。但在iOS中，你只可以访问你自已的keychain items;

Keychain的特点

• 数据并不存放在App的Sanbox中，即使删除了App，资料依然保存在keychain中。如果重新安装了app，还可以从keychain获取数据。注意，恢复出厂设置可清空钥匙串里面的信息。

• keychain的数据可以用过group方式，让程序可以在App间共享。不过得要相同TeamID

• keychain的数据是经过加密的 ##Keychain的使用 大多数iOS应用需要用到Keychain， 都用来添加一个密码，修改一个已存在Keychain item或者取回密码。Keychain提供了以下的操作

• SecItemAdd 添加一个item

• SecItemUpdate 更新已存在的item

• SecItemCopyMatching 搜索一个已存在的item

• SecItemDelete 删除一个keychain item

  App使用的钥匙串Keychain与iPhone中的的钥匙串的区别

  1、iPhone中的钥匙串功能：保存各种密码、WiFi、appleID、网站密码等等。

  2、App中的钥匙串Keychain主要是保存App的用户名密码等重要信息。

####读取

 func readPassword() throws -> String  {
        /*
            查找 对应 service, account and
            access group 的keychainItem.
        */
        var query = KeychainPasswordItem.keychainQuery(withService: service, account: account, accessGroup: accessGroup)
        query[kSecMatchLimit as String] = kSecMatchLimitOne
        query[kSecReturnAttributes as String] = kCFBooleanTrue
        query[kSecReturnData as String] = kCFBooleanTrue
        
        // 查找已经存在的item
        var queryResult: AnyObject?
        let status = withUnsafeMutablePointer(to: &queryResult) {
            SecItemCopyMatching(query as CFDictionary, UnsafeMutablePointer($0))
        }
        
        // 检查插入或更新是否成功
        guard status != errSecItemNotFound else { throw KeychainError.noPassword }
        guard status == noErr else { throw KeychainError.unhandledError(status: status) }
        
        // 读取item中的密码信息
        guard let existingItem = queryResult as? [String : AnyObject],
            let passwordData = existingItem[kSecValueData as String] as? Data,
            let password = String(data: passwordData, encoding: String.Encoding.utf8)
        else {
            throw KeychainError.unexpectedPasswordData
        }
        
        return password
    }

####写入

func savePassword(_ password: String) throws {
        // 编码Encoding->data
        let encodedPassword = password.data(using: String.Encoding.utf8)!
        
        do {
            // 查找是否存在item.
            try _ = readPassword()

            // 如果存在更新item中的密码
            var attributesToUpdate = [String : AnyObject]()
            attributesToUpdate[kSecValueData as String] = encodedPassword as AnyObject?

            let query = KeychainPasswordItem.keychainQuery(withService: service, account: account, accessGroup: accessGroup)
            let status = SecItemUpdate(query as CFDictionary, attributesToUpdate as CFDictionary)
            
          
            guard status == noErr else { throw KeychainError.unhandledError(status: status) }
        }
        catch KeychainError.noPassword {
            /*
                如果不存在 创建一个dictionary 作为item 存入keychain
            */
            var newItem = KeychainPasswordItem.keychainQuery(withService: service, account: account, accessGroup: accessGroup)
            newItem[kSecValueData as String] = encodedPassword as AnyObject?
   
            let status = SecItemAdd(newItem as CFDictionary, nil)
            
            guard status == noErr else { throw KeychainError.unhandledError(status: status) }
        }
    }

##关于共享 Keychain的数据可以透过Group Access的方式，让资料可以在App间共享，Google系列的App (Gmail、Google+、日历…)就是通过这样的方式来记录使用者登入信息，只要使用者在其中一个App中完成登入了，其他的App也可以读取到同相的登入咨询进行登录。 ###进入Capabilities，将Keychain打开 

开启Keychain后，会自动新增一个Keychain Group，使用的是Bundle Identifier。 同时也会自动新增一个entitlements文件，里面也会有一个Access Group，名为 $(AppIdentifierPrefix)+你的bundleID 

(AppIdentifierPrefix)可以是开发者的代号需要登录才会有，也就是开发者证书后小括号的内的英文数字组合。使用$(AppIdentifierPrefix)只能被同一个开发者账号的app来存取，以防被有心人盜取

若其他的App也要存取当前Keychain的数据，就必需在Keychain开启后，新增相同的Keychain Group (Access Group会根据Keychain Group自动新增)。 PS: 需要Info.plist新增一对键值 Key: AppIdentifierPrefix Value: $(AppIdentifierPrefix) 方便取得 Identifier Prefix