面试题：Flutter中SQLite数据库存储敏感数据的安全机制与优化

数据库层面

加密数据库文件
- 实现步骤：在Flutter中使用支持加密的SQLite库，如sqflite结合sqflite_common_ffi（针对桌面端）。对于移动端，可利用设备特定的加密机制。例如，在Android上，SQLCipher库可对SQLite数据库进行加密。首先，添加相应依赖到pubspec.yaml文件。然后，在打开数据库时设置加密密钥，如下代码示例：

import 'package:sqflite/sqflite.dart';
import 'package:sqflite_common_ffi/sqflite_ffi.dart';

void main() async {
  // 初始化ffi
  sqfliteFfiInit();
  databaseFactory = databaseFactoryFfi;

  final String path = await getDatabasesPath();
  final String dbPath = '$path/encrypted.db';
  // 加密密钥
  final String encryptionKey = 'your_strong_encryption_key';
  final Database db = await openDatabase(
    dbPath,
    options: OpenDatabaseOptions(
      encryptionKey: encryptionKey,
    ),
  );
}

- **可能遇到的问题**：加密密钥的管理和存储是关键问题。若密钥泄露，加密就失去意义。另外，不同平台对加密库的兼容性和性能可能有差异。
- **解决方案**：对于密钥管理，可使用设备的安全存储机制，如Android的Keystore系统或iOS的Keychain。在性能方面，测试不同加密算法和库在各平台上的表现，选择最优方案。

2. 设置访问权限 - 实现步骤：在操作系统层面设置数据库文件的访问权限。在Flutter应用中，确保数据库文件存储在应用专属目录中，不同操作系统有不同的应用专属目录获取方式。例如，在Android上，数据库文件默认存储在应用的内部存储目录，该目录只有应用本身有读写权限。在iOS上，可使用NSFileManager获取应用专属目录。代码示例（以获取Android应用专属目录为例）：

import 'package:path_provider/path_provider.dart';

Future<String> getDatabasePath() async {
  final Directory directory = await getApplicationDocumentsDirectory();
  return directory.path;
}

- **可能遇到的问题**：不同操作系统对文件访问权限的管理方式不同，在跨平台开发时需要处理兼容性问题。同时，若应用需要在后台运行并访问数据库，某些操作系统可能会限制后台访问权限。
- **解决方案**：使用Flutter插件如`path_provider`来统一获取不同平台的应用专属目录。对于后台访问权限问题，在应用配置文件中声明相应权限，并根据不同平台的要求进行适配，如在AndroidManifest.xml中配置后台运行权限。

应用层面

防止SQL注入攻击
- 实现步骤：在Flutter中使用sqflite库执行SQL语句时，采用参数化查询。例如，当插入用户健康数据时：

Future<void> insertHealthData(HealthData data) async {
  final Database db = await database;
  await db.insert(
    'health_data',
    data.toMap(),
    conflictAlgorithm: ConflictAlgorithm.replace,
  );
}

这里insert方法的第二个参数是一个Map，sqflite库会自动处理参数化，避免SQL注入。当进行查询操作时同样如此：

Future<List<HealthData>> queryHealthData() async {
  final Database db = await database;
  final List<Map<String, dynamic>> maps = await db.query('health_data');
  return List.generate(maps.length, (i) {
    return HealthData.fromMap(maps[i]);
  });
}

- **可能遇到的问题**：开发人员可能误操作，直接拼接SQL语句而不是使用参数化查询。另外，在处理复杂SQL语句时，参数化查询的使用可能不够直观。
- **解决方案**：加强代码审查，确保所有SQL操作都使用参数化查询。对于复杂SQL语句，可以封装成方法或使用ORM（对象关系映射）库，如`moor`，它可以更直观地进行数据库操作并自动防止SQL注入。

星途面试题库

面试题：Flutter中SQLite数据库存储敏感数据的安全机制与优化

知识考点

面试题答案

数据库层面

应用层面