当前位置：首页 > ds >正文

HarmonyOS安全开发实战：一套好用的数据加密方案

ds 2025/8/28 16:59:43

在这里插入图片描述

摘要

在如今智能设备遍地开花的时代，数据安全几乎成了所有应用绕不开的话题。无论你是在做手机App、车机系统，还是IoT设备的固件升级，只要涉及到用户数据，加密就是一块必不可少的拼图。

在鸿蒙（HarmonyOS）系统里，开发者既要考虑安全性，也要考虑性能。如果算法过重，设备端会很卡；如果加密策略不合理，就可能被黑客绕过。本文会从加密算法选择、密钥管理、实际应用场景三个方面出发，结合可运行的ArkTS Demo，带你一步步设计一套实用的数据加密策略。最后还会总结一些在项目中经常遇到的坑和优化方法。

引言

随着鸿蒙系统逐渐走向多端应用（手机、手表、车机、智能家居），数据安全的重要性也在不断放大。比如：

在智能家居场景下，用户的开门指令如果被黑客截获，就有可能导致安全事故。
在车机场景下，如果行车日志或定位数据被篡改，可能会影响驾驶体验甚至引发纠纷。
在支付场景下，如果银行卡号、支付密码没有加密，很可能被劫持或者伪造请求。

从这些案例中可以看出，加密并不仅仅是“加个算法”那么简单，而是要把存储、传输、密钥管理结合起来，形成一套完整的防御体系。

所以接下来，我们先聊清楚加密的底层逻辑，再落地到鸿蒙代码实现。

数据加密策略的核心要点

加密算法的选择

在实际开发中，最常见的加密算法大概分三类：

对称加密（AES）

特点：加密和解密使用同一个密钥。
优点：速度快，适合加密大数据量。
缺点：密钥一旦泄露，安全性大幅降低。
应用：文件存储、日志数据、缓存加密。

非对称加密（RSA、ECC）

特点：公钥加密，私钥解密。
优点：安全性高，可以解决密钥分发问题。
缺点：速度慢，不适合大数据加密。
应用：密钥交换、身份认证。

哈希算法（SHA-256、MD5）

特点：不可逆，输出定长摘要。
优点：适合做完整性校验、密码存储。
缺点：不能解密。
应用：登录密码校验、文件完整性校验。

组合思路：常见的做法是 RSA加密AES密钥，AES加密实际数据。这种方式兼顾了性能和安全。

密钥管理

如果说算法是“锁”，那密钥就是“钥匙”。很多系统被攻破不是因为算法太弱，而是因为密钥管理不当。

在鸿蒙里，密钥管理可以分为以下几个层级：

密钥生成：通过鸿蒙提供的 cryptoFramework 生成，而不是自己写随机数。
密钥存储：不要明文放在配置文件或数据库，可以用鸿蒙的 HUKS（HarmonyOS Key Store）。
密钥更新：最好定期更换，避免一个密钥长期使用。
密钥分发：对称密钥通过非对称加密安全下发，比如用RSA加密AES的密钥。

AES 加解密 Demo

先写一个最基础的AES加解密模块，跑通之后我们再扩展到实际场景。

// encryptionUtil.ets
import crypto from '@ohos.security.cryptoFramework';export async function encryptAES(plainText: string, key: Uint8Array): Promise<Uint8Array> {const cipher = crypto.createCipher('AES/CBC/PKCS7');const iv = crypto.generateSecureRandom(16); // 使用随机IV提升安全性await cipher.init({ key, iv });const encrypted = await cipher.update(new TextEncoder().encode(plainText));return encrypted;
}export async function decryptAES(cipherText: Uint8Array, key: Uint8Array, iv: Uint8Array): Promise<string> {const cipher = crypto.createCipher('AES/CBC/PKCS7');await cipher.init({ key, iv });const decrypted = await cipher.update(cipherText);return new TextDecoder().decode(decrypted);
}// 使用示例
async function testEncrypt() {const key = crypto.createSymKey('AES', 256); // 生成AES-256密钥const text = 'HarmonyOS Data Security';const iv = crypto.generateSecureRandom(16); // 每次加密随机IVconst encrypted = await encryptAES(text, key);const decrypted = await decryptAES(encrypted, key, iv);console.log('原始数据:', text);console.log('加密数据:', encrypted);console.log('解密结果:', decrypted);
}testEncrypt();

代码解析

使用了 AES/CBC/PKCS7 模式，这是对称加密常用的安全方案。
IV（初始化向量） 每次随机生成，避免相同数据加密后得到相同结果。
crypto.createSymKey 自动生成AES-256密钥，避免开发者硬编码。

在生产中，密钥要交给HUKS管理，这样即使设备被Root，攻击者也拿不到密钥。

应用场景实战

本地存储加密

很多鸿蒙应用会把用户登录信息、本地缓存放在数据库或文件里。如果这些是明文，一旦数据库文件被拷走，风险极高。

下面的例子展示了如何对本地 data.storage 的Token做AES加密。

import dataStorage from '@ohos.data.storage';
import { encryptAES, decryptAES } from './encryptionUtil';async function saveToken(token: string, key: Uint8Array, iv: Uint8Array) {const encrypted = await encryptAES(token, key);const storage = dataStorage.getStorageSync('/data/accounts.db');storage.putSync('user_token', JSON.stringify({data: Array.from(encrypted),iv: Array.from(iv)}));storage.flushSync();
}async function getToken(key: Uint8Array): Promise<string> {const storage = dataStorage.getStorageSync('/data/accounts.db');const raw = JSON.parse(storage.getSync('user_token', '{}'));const encrypted = new Uint8Array(raw.data);const iv = new Uint8Array(raw.iv);return decryptAES(encrypted, key, iv);
}

分析：

Token存储前先加密，即使数据库泄露也无法直接拿到明文。
IV和数据分开存储，解密时重新组合。
适合保存 Token、用户敏感信息、离线配置。

网络传输加密

在客户端和服务器通信时，常见的做法是：

客户端生成AES密钥；
用RSA公钥加密AES密钥并发送给服务器；
后续数据都用AES加密，提高效率。

// 伪代码，RSA加密密钥
import crypto from '@ohos.security.cryptoFramework';async function encryptAESKey(aesKey: Uint8Array, publicKey: crypto.PubKey) {const cipher = crypto.createCipher('RSA/ECB/PKCS1');await cipher.init({ key: publicKey });return cipher.update(aesKey);
}

应用：

适用于 IoT 设备和云端的安全通信；
确保即使数据被截获，攻击者也无法解密。

敏感字段加密

支付场景尤其需要对敏感字段加密，比如银行卡号、身份证号、CVV等。

async function encryptPaymentInfo(cardNumber: string, cvv: string, key: Uint8Array, iv: Uint8Array) {const encryptedCard = await encryptAES(cardNumber, key);const encryptedCVV = await encryptAES(cvv, key);return {card: Array.from(encryptedCard),cvv: Array.from(encryptedCVV),iv: Array.from(iv)};
}

分析：

每个字段单独加密，攻击者即使拿到报文也无法恢复真实卡号。
适合金融支付、电商交易场景。

日志与调试信息加密

开发过程中，很多人喜欢在日志里打印调试信息。如果日志文件被拷贝，可能包含敏感数据。

解决方案：对日志里的敏感部分做加密存储，或者做脱敏处理。

function logSensitiveInfo(userId: string, key: Uint8Array, iv: Uint8Array) {encryptAES(userId, key).then(encrypted => {console.log('用户ID（加密存储）:', Array.from(encrypted));});
}