iOS应用安全构建检查清单-原创手记-慕课网

来看看我的GitHub上的iOS面试资料 : Shobhakar GitHub

iOS 安全检查

确保你的 iOS 应用的安全性不仅仅是个可选项——它是获得 App Store 批准和赢得用户信任的关键。我们来看看开发人员常犯的几个错误及其解决方法，以及如何直接应对这些问题。

1. 数据保存不安全,

错误： 在UserDefaults、缓存或日志中存储敏感信息。
解决方法： 使用Keychain Services API安全存储凭证和敏感数据。使用文件保护类绑定访问权限到用户身份验证凭据。

2.: 数据加密不足

错误：未能加密静态和传输中的数据。
解决方案：使用CommonCrypto或CryptoKit框架来实现强大的加密算法。开启ATS以强制实施HTTPS连接。

3. 硬编码秘密

错误：实现硬编码API密钥、令牌或凭证。
建议：使用安全的环境管理工具来管理这些信息

4. 脆弱的身份验证，以及授权

错误：

实现较弱或不存在的身份验证机制。

解决方案：

使用Face ID或Touch ID实现多因素身份验证。使用OAuth 2.0或OpenID Connect进行身份管理。

5: 错误处理不当

示例错误：向用户显示详细的错误信息。
解决方法：向最终用户显示通用消息，同时安全记录详细错误。同时实现适当错误处理，避免泄露敏感信息。

6. 输入验证不够充分

错误：忽略输入验证步骤会让你的应用程序面临各种类型的攻击
解决方法：验证并清理掉所有用户输入。使用参数化查询语句来防止注入攻击的发生。

7. 忽略安全更新就是

失误：没有及时更新库和SDK。
解决方案：定期检查并更新第三方依赖，并使用比如 SonarQube 等漏洞扫描工具来监测漏洞情况。

8. 弱会话控制

失误：未妥善处理会话令牌或会话管理混乱。
解决办法：确保会话令牌安全处理，包括合理设置过期时间和登出时及时撤销令牌。

9. 不恰当的 API 安全

错误：将API暴露而未进行适当的认证。
解决方案：通过实现如OAuth 2.0这样的强大认证方法，并强制执行基于角色的访问控制（RBAC），以实现精确的权限管理，来保护所有API端点的安全。

10. 不够安全的编码实践

失误：不遵循安全编码标准。
解决方案：遵循OWASP 移动十大安全指南，并定期做代码审查。进行静态分析和自动化测试。

11. 忽略安全应用设置。

错误：保留调试日志和测试设置。
解决方案：移除调试日志，在发布前禁用调试设置，并确保实施适当的访问控制。

12. 证书和密钥的管理

错误：使用弱或过期的证书。
解决方案：实施 SSL 证书绑定以防止中间人拦截攻击。使用安全飞地进行加密操作。

iOS 辅导或面试准备用：

在 LinkedIn 或私信联系我，预约模拟面试或直接交流：https://www.linkedin.com/in/shobhakar-tiwari/，点击这里访问。

感谢你加入我们这个大家庭

在你走之前，