iOS keyChain 的使用

详细资料，请参看苹果官方文档Keychain Services Reference 。

ios中的keychain，用于保存用户的机密信息，对keychain的操作有4种，就是 增，删，改，查：

SecItemCopyMatching 查

Returns one or more keychain items that match a search query, or copies attributes of specific keychain items. 

SecItemAdd 增
Adds one or more items to a keychain.

SecItemUpdate 改
Modifies items that match a search query.

SecItemDelete 删
Deletes items that match a search query. 

 

---

每个操作，都需要定义相应的CFDictionary，下面看看如何定义。

操作函数需要的CFDictionary中的信息，介绍如下：

A dictionary containing an item class key-value pair (“Keychain Item Class Keys and Values” (page 11)) and optional attribute key-value pairs (“Attribute Item Keys and Values” (page 16)) specifying the item's attribute values. 

上边提到了2种key-value pair，一种是 item class key-value pair，一种是optional attribute key-value pair，首先要确定item所用的class，之后根据不同的class会用到不同的attribute。

item class key-value pair，它被描述成Keychain Item Class Keys and Values。它的key是kSecClass ，它的value有5种：

 

kSecClassGenericPassword，//存储普通的密码，
kSecClassInternetPassword，//存储网络密码
kSecClassCertificate，//存储证书，证书中包含共有密匙
kSecClassKey，//存储密匙，其实就是私有密匙
kSecClassIdentity，//存储Identity item，包括一个证书和一个密匙

 

这5种value都有相应的attribute的key-value pair 可以使用，请参看官方文档。这些attribute key-value pair 的key都是固定的常量; 他们的value，有的是常量, 有的是NSString之类的变量，可以写入自定义内容。另外，这些attribute key-value pair 有的指定了检索的条件，有的指定了检索的返回值，等等，功能不同。

---

下面看看如何添加一个普通密码到keychain中

- (void)addIdentityIntoKeyChain
{ 
    OSStatus sanityCheck = noErr;    

    NSDictionary *dic = [NSDictionarydictionaryWithObjectsAndKeys: 

                         (__bridge id)(kSecClassGenericPassword) ,kSecClass,

                         @"this a my description",kSecAttrDescription,

                         [@"1234"dataUsingEncoding:NSUTF8StringEncoding], kSecValueData,

                //        [@"5678" dataUsingEncoding:NSUTF8StringEncoding], kSecValueRef,

                         nil];    

    NSLog(@"add dic is %@",dic);   

    CFDictionaryRef dicRef = ( __bridgeCFDictionaryRef)dic;    

    sanityCheck = SecItemAdd(dicRef, nil);

    NSLog(@"%ld",sanityCheck);    

}

再看看针对上面这个item的2种不同的查询，

第一种，查询具体的密码，即我们真正需要保存的东西

- (void)getPass2
{
    NSLog(@"pass 2===========");    

    NSDictionary *queryDictionary = [NSDictionarydictionaryWithObjectsAndKeys:

                                     @"this a my description",kSecAttrDescription,

                                     kCFBooleanTrue, kSecReturnData,

                                     kSecClassGenericPassword, kSecClass,

                                     nil];    

    CFTypeRef handle = NULL;

    OSStatus status = SecItemCopyMatching((__bridge CFDictionaryRef)queryDictionary, &handle);    

    NSLog(@"status is %ld",status);    

    if (status == noErr) {

        NSData *data = (__bridge NSData *)handle;

        NSString *str = [[NSStringalloc] initWithData:data encoding:NSUTF8StringEncoding];

        NSLog(@"str is %@",str);        

    }    

}

第二种，查询这个item的各种属性，不查询具体的密码

- (NSString *)getPasswordFromKeyChain

{

    NSLog(@"pass 1===========");

    NSDictionary *queryDictionary = [NSDictionarydictionaryWithObjectsAndKeys:

                                    @"this a my description",kSecAttrDescription,

                                    kCFBooleanTrue, kSecReturnAttributes,

                                    kSecClassGenericPassword, kSecClass,

                                    nil];   

    CFTypeRef handle = NULL;

    OSStatus status = SecItemCopyMatching((__bridge CFDictionaryRef)queryDictionary, &handle);    

    NSLog(@"status is %ld",status);    

    if (status == noErr) {

       NSDictionary *dic = (__bridge_transfer NSDictionary*) handle ;

        NSLog(@"dic is %@",dic);        

    }    

   return@"";

} 

 

请查看具体的输出，来理解这2中查询的不同。 

 

2014-03-14 10:50:15.338 KeyChainTest[25074:907] add dic is {
    class = genp;
    desc = "this a my description";
    "v_Data" = <31323334>;
}
2014-03-14 10:50:15.356 KeyChainTest[25074:907] -25299
2014-03-14 10:50:15.359 KeyChainTest[25074:907] pass 1===========
2014-03-14 10:50:15.369 KeyChainTest[25074:907] status is 0
2014-03-14 10:50:15.376 KeyChainTest[25074:907] dic is {
    acct = "";
    agrp = "BDN8QNY54S.com.Kings.test.KeyChainTest";
    cdat = "2013-10-16 06:02:54 +0000";
    desc = "this a my description";
    mdat = "2013-10-16 06:02:54 +0000";
    pdmn = ak;
    svce = "";
}
2014-03-14 10:50:15.381 KeyChainTest[25074:907] pass 2===========
2014-03-14 10:50:15.389 KeyChainTest[25074:907] status is 0
2014-03-14 10:50:15.393 KeyChainTest[25074:907] str is 1234

 

---

 

另外，在keychain的使用中，还经常涉及一个问题，就是2个程序共享机密信息。这常常发生在以下情况：大型公司专门写了一个用户认证程序，指定的机器可以装上这个程序，用这个程序时要求输入帐号和密码，验证通过后，程序会从服务器取公司的证书和用户的私有密匙，并将他们加入到程序的keychain中 。之后该公司写的其他程序，如果需要帐号和密码，或者证书进行服务器验身份证时，就可以用刚才提到的用户认证程序在keychain中保存的信息。

ios程序默认的keychain是不能够和其他程序共享的，如果想共享自己的信息，那么需要加入到一个Keychain Access Groups中，xcode5在工程设定中可以添加。主要注意的是这个Keychain Access Groups的名字是有限制的，必须和你的provisioning profile向一致，这就保证不可能访问到其他公司的机密信息。

 

转一些别人的心得：

1.相同bundle下生成的程序都可以共享相同group的keyChain.（我对这一条的理解不太一样，我感觉是这样的：bundle Name 分别是 com.companyName.A 和 com.companyName.B，那么这两个程序的keychain group name 就必须是 com.companyName.xxxx）

相同bundle解释下就是：比如:2个程序分别使用的provision对应bundle是com.jv.key1和com.jv.key2，那你配置文件肯定是{Identifer}.com.jv.{name},其中identifer是苹果生成的随机串号，可以在申请证书时看到，复制过来即可，name可以自己取，程序中指定属于哪个Group即可。

2.如果你在 addkey时，没有指定group,则会默认添加你keychain-access-groups里第一个group（这是keychain group中经常写2个group的原因，简历一个自己的group，防止污染主要的keychain group），如果你没有设置Entitlements,则默认使用对应的程序的bundle name,比如com.jv.key1,表示只能给自己程序使用。

3.如果你程序添加的group并不存在你的配置文件中，程序会奔溃，表示无法添加。因此你只能添加你配置文件中支持的keychain。