iOS 敏感密钥泄漏怎么防?我踩了三个坑才找到正确姿势

# 解压 ipa（本质是 zip）unzip SpeechNote.ipa -d SpeechNote_extracted# 直接读 plistcat SpeechNote_extracted/Payload/SpeechNote.app/Config.plist

strings SpeechNote_extracted/Payload/SpeechNote.app/SpeechNote | grep "AKID"

iOS App → Supabase Edge Function → QCloud / SiliconFlow / Groq

录音 → 上传 Storage → 调 Edge Function → Edge Function 下载 → 转发 ASR → 轮询结果 → iOS 拿到文字

App 启动  ↓GET https://speechnote-config.xxx.workers.dev/Header: X-App-Token: <app-token>  ↓返回 { qcloudSecretId, qcloudSecretKey, siliconFlowApiKey, ... }  ↓存入 ConfigManager 内存  ↓正常使用，直接调各 ASR 服务（无代理）

export default {  async fetch(request, env) {    if (request.method !== 'GET') {      return new Response('Method Not Allowed', { status: 405 });    }    const appToken = request.headers.get('X-App-Token');    if (!appToken || appToken !== env.APP_TOKEN) {      return new Response('Unauthorized', { status: 401 });    }    return Response.json({      qcloudSecretId: env.QCLOUD_SECRET_ID,      qcloudSecretKey: env.QCLOUD_SECRET_KEY,      qcloudAppId: env.QCLOUD_APP_ID,      siliconFlowApiKey: env.SILICON_FLOW_API_KEY,      groqApiKey: env.GROQ_API_KEY,      cozeApiKey: env.COZE_API_KEY,      deepseekApiKey: env.DEEPSEEK_API_KEY,    }, {      headers: { 'Cache-Control': 'no-store' },    });  },};

密钥全部存在 Cloudflare Dashboard → Settings → Variables and Secrets，类型选 Secret（加密存储，部署后不可读出）。

iOS — ConfigManager 新增 fetchRemoteConfig()

func fetchRemoteConfig(session: URLSession = .shared) async {    for attempt in 1...3 {        if await attemptFetch(session: session) {            isTranscriptionAvailable = true            return        }        if attempt < 3 {            try? await Task.sleep(nanoseconds: 2_000_000_000) // 重试间隔 2 秒        }    }    isTranscriptionAvailable = false    print("警告: 无法从 Cloudflare 获取配置，转录功能不可用")}

重试 3 次，失败就把 isTranscriptionAvailable 置为 false，转录功能降级，不崩溃。

iOS — SceneDelegate 启动序列

原来的启动：

// 直接初始化 SDK，显示主界面appDelegate?.initializeSDKsAfterConsent()showMainInterface()

改后：

showLoadingScreen()  // 先显示 spinnerTask {    await ConfigManager.shared.fetchRemoteConfig()  // 拿到密钥    await MainActor.run {        appDelegate?.initializeSDKsAfterConsent()  // 再初始化 SDK        showMainInterface()    }}

关键顺序：fetchRemoteConfig 必须在 initializeSDKsAfterConsent 之前，否则 SDK 初始化时密钥还是空的。

踩坑记录

坑一：Dashboard 编辑器不支持 TypeScript

index.ts 直接粘进去，部署报错：

Uncaught SyntaxError: Unexpected strict mode reserved word at worker.js:3

原因：interface Env { ... } 里的 interface 是 TypeScript 关键字，JavaScript 严格模式里是保留字。

解决：删掉 interface Env 那段类型声明，改成纯 JavaScript，函数签名从 async fetch(request: Request, env: Env) 改成 async fetch(request, env)。

坑二：Rate Limiting 在 workers.dev 上不可用

我以为 Worker Settings 里有 Rate Limiting 开关，找了半天没找到。

实际情况：Cloudflare 的 WAF Rate Limiting 需要绑定自定义域名，workers.dev 子域名不支持。要在 workers.dev 上做限速，只能在 Worker 代码里自己实现（需要 Durable Objects，复杂很多）。

对于这个场景，APP_TOKEN 验证已经够用了——没有 token 的请求直接 401，有 token 的请求来源是自己的 App。可以接受。

坑三：Xcode 项目里有测试文件夹，但没有 Test Target

SpeechNoteTests/ 目录存在，SpeechNoteTests.swift 也在，但 project.pbxproj 里只有一个 Native Target（主 App），根本没有 Unit Test Target。

直接在目录里创建测试文件是跑不起来的。需要在 Xcode 里 File → New → Target → Unit Testing Bundle，重新建一个 test target，再把测试文件加进去。

坑四：单例状态污染跨测试用例

ConfigManager 是单例，private init()。写单元测试时发现：测试 A 成功拿到密钥，设置了 qcloudSecretID = "q-id"；测试 B 测试失败场景，只断言 isTranscriptionAvailable == false，但 qcloudSecretID 里还残留着 "q-id"，后续加其他断言就会出问题。

解决：在 ConfigManager 里加一个仅供测试调用的 resetForTesting() 方法，在每个测试用例的 setUp() 里调用，每次清空内存状态。

func resetForTesting(remoteConfigURL: String = "", remoteConfigToken: String = "") {    self.remoteConfigURL   = remoteConfigURL    self.remoteConfigToken = remoteConfigToken    isTranscriptionAvailable = false    qcloudSecretID = ""    // ... 清空其余字段}

这套方案能防什么，不能防什么

说清楚边界很重要，不要有虚假的安全感。

能防： 静态分析，解包 ipa 直接读取，二进制扫描工具。这是最常见的密钥泄漏方式。

不能防： 运行时抓包。有人在目标设备上装了代理证书，可以看到 App 从 Worker 拿到的密钥。理论上存在，实际上门槛高，对独立 App 不是主要威胁。

能做到： 密钥轮换不需要发版。直接在 Cloudflare Dashboard 改 Secret，几秒钟生效，全量用户同步，不用等 App Store 审核。

对于大多数独立开发的 App，这个方案的安全性和复杂度比是很划算的。

2026.03.24 17:02沪 · 赵巷KFC

📌 声明：本文由 AI 辅助完成