Некоторое время назад была опубликована статья на тему хранения данных пользователя. В этой статье было представлено решение, которое подходит для хранения общих данных, таких как настройки уведомлений, рассылки, возраста, имени и т.п. Но если требуется хранить важные или персональные данные, такие как ключ авторизации, пароль аккаунта, логин аккаунта и т.п., то для этих целей потребуется своего рода безопасное и защищенное хранилище. Далее речь пойдет о хранилище данных Keychain и способах его программирования.

Реализация

Сформируем минимальные необходимые требования к защищенному хранилищу.

Возможность сохранить данные.
Возможность загрузить данные.
Возможность удалить данные.
Данными могут быть как пароли или токены, так и аккаунты, т.е. комбинации логин-пароль.

Ядром для работы с хранилищем будет SecureStorage, который удовлетворяет первым 3 требованиям.

import Foundation
import Security

public final class SecureStorage {
	enum KeychainError: Error {
		case itemAlreadyExist
		case itemNotFound
		case errorStatus(String?)
		
		init(status: OSStatus) {
			switch status {
			case errSecDuplicateItem:
				self = .itemAlreadyExist
			case errSecItemNotFound:
				self = .itemNotFound
			default:
				let message = SecCopyErrorMessageString(status, nil) as String?
				self = .errorStatus(message)
			}
		}
	}
	
	func addItem(query: [CFString: Any]) throws {
		let status = SecItemAdd(query as CFDictionary, nil)
		
		if status != errSecSuccess {
			throw KeychainError(status: status)
		}
	}
	
	func findItem(query: [CFString: Any]) throws -> [CFString: Any]? {
		var query = query
		query[kSecReturnAttributes] = kCFBooleanTrue
		query[kSecReturnData] = kCFBooleanTrue
		
		var searchResult: AnyObject?
		
		let status = withUnsafeMutablePointer(to: &searchResult) {
			SecItemCopyMatching(query as CFDictionary, $0)
		}
		
		if status != errSecSuccess {
			throw KeychainError(status: status)
		} else {
			return searchResult as? [CFString: Any]
		}
	}
	
	func updateItem(query: [CFString: Any], attributesToUpdate: [CFString: Any]) throws {
		let status = SecItemUpdate(query as CFDictionary, attributesToUpdate as CFDictionary)
		
		if status != errSecSuccess {
			throw KeychainError(status: status)
		}
	}
	
	func deleteItem(query: [CFString: Any]) throws {
		let status = SecItemDelete(query as CFDictionary)
		
		if status != errSecSuccess {
			throw KeychainError(status: status)
		}
	}
}

Далее, аккаунты. Как сказано в документации, хранилище используется для безопасного хранения небольших объемов данных. Поэтому для аккаунтов требуется некоторая модель Credentials, с которой впоследствии будет происходить работа.

Естественно, для того чтобы использовать Credentials модель при вызове, потребуется набор новых методов, принимающих в качестве аргумента эту самую модель.

import Foundation

public extension SecureStorage {
	struct Credentials {
		public var login: String
		public var password: String
		
		public init(login: String, password: String) {
			self.login = login
			self.password = password
		}
	}
	
	func addCredentials(_ credentials: Credentials, with label: String) {
		var query: [CFString: Any] = [:]
		query[kSecClass] = kSecClassGenericPassword
		query[kSecAttrLabel] = label
		query[kSecAttrAccount] = credentials.login
		query[kSecValueData] = credentials.password.data(using: .utf8)
		
		do {
			try addItem(query: query)
		} catch {
			return
		}
	}
	
	func updateCredentials(_ credentials: Credentials, with label: String) {
		deleteCredentials(with: label)
		addCredentials(credentials, with: label)
	}
	
	func getCredentials(with label: String) -> Credentials? {
		var query: [CFString: Any] = [:]
		query[kSecClass] = kSecClassGenericPassword
		query[kSecAttrLabel] = label
		
		var result: [CFString: Any]?
		
		do {
			result = try findItem(query: query)
		} catch {
			return nil
		}
		
		if let account = result?[kSecAttrAccount] as? String,
		   let data = result?[kSecValueData] as? Data,
		   let password = String(data: data, encoding: .utf8) {
			return Credentials(login: account, password: password)
		} else {
			return nil
		}
	}
	
	func deleteCredentials(with label: String) {
		var query: [CFString: Any] = [:]
		query[kSecClass] = kSecClassGenericPassword
		query[kSecAttrLabel] = label
		
		do {
			try deleteItem(query: query)
		} catch {
			return
		}
	}
}

Работа с паролями несколько легче программируется, поскольку в этом случае хранится только пароль, а не комбинация логин-пароль, и в качестве типа данных используется String.

import Foundation

public extension SecureStorage {
	func addPassword(_ password: String, for account: String) {
		var query: [CFString: Any] = [:]
		query[kSecClass] = kSecClassGenericPassword
		query[kSecAttrAccount] = account
		query[kSecValueData] = password.data(using: .utf8)
		
		do {
			try addItem(query: query)
		} catch {
			return
		}
	}
	
	func updatePassword(_ password: String, for account: String) {
		guard let _ = getPassword(for: account) else {
			addPassword(password, for: account)
			return
		}
		
		var query: [CFString: Any] = [:]
		query[kSecClass] = kSecClassGenericPassword
		query[kSecAttrAccount] = account
		
		var attributesToUpdate: [CFString: Any] = [:]
		attributesToUpdate[kSecValueData] = password.data(using: .utf8)
		
		do {
			try updateItem(query: query, attributesToUpdate: attributesToUpdate)
		} catch {
			return
		}
	}
	
	func getPassword(for account: String) -> String? {
		var query: [CFString: Any] = [:]
		query[kSecClass] = kSecClassGenericPassword
		query[kSecAttrAccount] = account
		
		var result: [CFString: Any]?
		
		do {
			result = try findItem(query: query)
		} catch {
			return nil
		}
		
		if let data = result?[kSecValueData] as? Data {
			return String(data: data, encoding: .utf8)
		} else {
			return nil
		}
	}
	
	func deletePassword(for account: String) {
		var query: [CFString: Any] = [:]
		query[kSecClass] = kSecClassGenericPassword
		query[kSecAttrAccount] = account
		
		do {
			try deleteItem(query: query)
		} catch {
			return
		}
	}
}

Таким образом, для использования такого хранилища можно обновить computed property с get и set методами, но предлагается поступить иначе и вместо computed property использовать @propertyWrapper.

import SwiftUI

@propertyWrapper
public struct Credentials: DynamicProperty {
	private let label: String
	private let storage = SecureStorage()
	
	public init(_ label: String) {
		self.label = label
	}
	
	public var wrappedValue: SecureStorage.Credentials? {
		get { storage.getCredentials(with: label) }
		nonmutating set {
			if let newValue = newValue {
				storage.updateCredentials(newValue, with: label)
			} else {
				storage.deleteCredentials(with: label)
			}
		}
	}
}

@propertyWrapper
public struct Password: DynamicProperty {
	private let key: String
	private let storage = SecureStorage()
	
	public init(_ key: String) {
		self.key = key
	}
	
	public var wrappedValue: String? {
		get { storage.getPassword(for: key) }
		nonmutating set {
			if let newValue {
				storage.updatePassword(newValue, for: key)
			} else {
				storage.deletePassword(for: key)
			}
		}
	}
}

Обратить внимание нужно на ключевое слово nonmutating в сетере каждой структуры. Без этого при использовании предложенных property wrapper в SwiftUI компилятор бы выдавал ошибку "Cannot assign to property: 'self' is immutable". Также в угоду совместимости со SwiftUI была добавлена реализация протокола DynamicProperty.

В результате, класс, содержащий защищенные данные выглядит максимально просто, в то время как удовлетворяет поставленным требованиям.

final class SecureSettings {
	@Credentials("account")
	var account: SecureStorage.Credentials?
	
	@Credentials("subAccount")
	var subAccount: SecureStorage.Credentials?
	
	@Password("authToken")
	var authToken: String?
	
	@Password("refreshToken")
	var refreshToken: String?
	
	func clear() {
		account = nil
		subAccount = nil
		accessToken = nil
		refreshToken = nil
	}
}

Причем можно повторить подход, который используется в Apple - объявить общий экземпляр (singleton), либо передать объект в окружение (environmentObject), либо, создать экземпляр по необходимости.

Заключение

Хранение авторизационных данных - довольно частая задача, которая решается разработчиками, поскольку токен авторизации через определенное время утрачивает актуальность. Для того, чтобы пользовательский опыт был максимально положительным, нужно выполнять повторную авторизацию в "тихом" режиме, а не выбрасывать пользователя на экран ввода логина и пароля.

В любом случае, это один из наиболее распространенных вариантов использования защищенного хранилища. В качестве другого примера можно привести хранение комбинации authToken-refreshToken. Но об этом как-нибудь в другой раз.

Swift. KeyChain. Property wrapper