快捷導(dǎo)航

一文詳解NSSecureCoding真的安全嗎

更新時間：2023年03月31日 14:21:51 作者：布多

這篇文章主要為大家介紹了NSSecureCoding安全深入解析，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步，早日升職加薪

NSSecureCoding

NSSecureCoding 可能很多人都沒用過，但是 NSCoding 大家應(yīng)該都不陌生；你可以簡單的理解為 NSSecureCoding 是 NSCoding 的安全版本。

為什么 NSSecureCoding 比 NSCoding 更安全呢？如果你上網(wǎng)搜索這2者的區(qū)別，大部分的回答都是 NSSecureCoding 比 NSCoding 更安全，為什么更安全呢？沒說(每次看到這類博主的回答真的很無語，NSSecureCoding 比 NSCoding 更安全還用你說嗎？單詞都能看出來，既然發(fā)一篇文章來說明那起碼得解釋為什么更安全吧。)。

在說 NSSecureCoding 之前，我們先回憶一下 NSCoding 的用法。

NSCoding的用法

@interface Person : NSObject<NSCoding>
@property (nonatomic, copy) NSString *name;
@end
@implementation Person
- (instancetype)initWithCoder:(NSCoder *)coder {
    self = [super init];
    if (!self) return nil;
    self.name = [coder decodeObjectForKey:@"name"];
    return self;
}
- (void)encodeWithCoder:(nonnull NSCoder *)coder {
    [coder encodeObject:self.name forKey:@"name"];
}
@end

第1步遵守 NSCoding 協(xié)議，第2步實現(xiàn)協(xié)議內(nèi)的 initWithCoder: 和 encodeWithCoder: 這2個方法。

使用代碼如下：

Person *per = [[Person alloc] init];
per.name = @"name1";
NSData *archiver = [NSKeyedArchiver archivedDataWithRootObject:per];
Person *per2 = [NSKeyedUnarchiver unarchiveObjectWithData:archiver];

利用 NSKeyedArchiver 的 archivedDataWithRootObject: 類方法進行歸檔，使用 NSKeyedUnarchiver 的 unarchiveObjectWithData: 類方法進行解檔。

是不是很簡單，我們再來看看 NSSecureCoding 的用法。

NSSecureCoding的用法

@interface Person : NSObject&lt;NSSecureCoding&gt;
@property (nonatomic, copy) NSString *name;
@end
@implementation Person
- (instancetype)initWithCoder:(NSCoder *)coder {
    self = [super init];
    if (!self) return nil;
    self.name = [coder decodeObjectOfClass:NSString.class forKey:@"name"];
    return self;
}
- (void)encodeWithCoder:(nonnull NSCoder *)coder {
    [coder encodeObject:self.name forKey:@"name"];
}
+ (BOOL)supportsSecureCoding {
    return YES;
}
@end

除了把協(xié)議名從 NSCoding 換成了 NSSecureCoding，主要增加了一個類方法 supportsSecureCoding(如果你遵守了NSSecureCoding協(xié)議的話，那么這個方法必須返回YES)，還有解檔方法從 decodeObjectForKey: 換成了 decodeObjectOfClass:forKey:。

使用代碼如下：

Person *per = [[Person alloc] init];
per.name = @"name1";
NSData *archiver = [NSKeyedArchiver archivedDataWithRootObject:per requiringSecureCoding:YES error:nil];
Person *per2 = [NSKeyedUnarchiver unarchivedObjectOfClass:Person.class fromData:archiver error:nil];

歸檔方法由 archivedDataWithRootObject: 改成了 archivedDataWithRootObject:requiringSecureCoding:error:，解檔方法由 unarchiveObjectWithData: 改成了 unarchivedObjectOfClass:fromData:error:。

從整體上來看 NSSecureCoding 比 NSCoding 其實就多了1個Class類型的參數(shù)，安全性也體現(xiàn)在這個參數(shù)上。

你可以從這篇文檔上獲得 NSSecureCoding 的詳細(xì)描述：developer.apple.com/documentati… 。

簡單總結(jié)一下就是在使用 NSCoding 協(xié)議時，你需要先解碼然后才能判斷類型是否正確，代碼如下：

id obj = [decoder decodeObjectForKey:@"myKey"];
if (![obj isKindOfClass:[MyClass class]]) { /* ...fail... */ }

這樣做有很多缺點，首先你在驗證類型的時候，這個對象已經(jīng)構(gòu)造完成了，如果這是一個集合類的話，那么這個對象可能已經(jīng)插入到集合中了，如果類型不準(zhǔn)確可能還需要移除；這樣效率會很低。

NSSecureCoding 的做法就是把 Class 作為參數(shù)傳遞進去，Apple會在解碼前驗證類型是否一致。

看起來 NSSecureCoding 確實比 NSCoding 更安全了，但是它卻有一個致命的缺點。

NSSecureCoding的致命缺點

我們把數(shù)據(jù)存儲到本地的時候，自然也希望下次讀取的是上次我們存儲的值，而不是一個被修改過的值，我在測試 NSSecureCoding 的時候，發(fā)現(xiàn)歸檔文件居然能被篡改，而且程序還能正常讀取到被篡改后的值而沒有任何異常，當(dāng)然，這個問題 NSCoding 同樣也有。

具體過程如下：

NSData *archiver = [NSKeyedArchiver archivedDataWithRootObject:per requiringSecureCoding:YES error:nil];
[archiver writeToFile:@"/archiver" atomically:YES];

第一步將歸檔數(shù)據(jù)保存到本地。

這是我保存到本地后的文件 archiver，正常情況下確實不管用什么軟件要么打開失敗要么亂碼，但是如果你把文件后綴改為 .plist 的話，然后用Xcode打開就能看到文件的大致信息，具體包含類名、父類、屬性名以及屬性值，如下圖所示：