android - oauth2的access_token和refresh_token 在客户端中存储在哪里比较合适？

Question

项目需要通过oauth2登录，拿到返回的两个token后，琢磨存储在哪里合适？Android端。

1. 可以存储在SP当中？感觉是不是有点不安全

2. 存储在数据库里？用的是ormlite框架，就为这个得建个表？有没有更好的方式？？？

Answer 1

你覺得用SP存不安全，那麼用資料庫存同樣不安全，這些資料都在內建儲存/data/data/包名/的目錄下。

你可以考慮在本地對token進行加密之後再持久化，這樣其他人拿到token之後，還得研究你的程式碼才能得到正確的token。你非要說安全的話，你的源碼還是會暴露，這又得考慮一下源碼加強的問題了。

無論怎麼弄，都沒有絕對的安全，對吧，所以我建議：在本地對token進行一些加密操作，再用SP持久化就足夠了。