HarmonyOS 应用安全开发：权限控制与隐私合规上架

✅ 最佳实践：提前说明用途：在弹窗前用文案解释'为何需要位置'（如'用于匹配本地疫情风险等级'）；提供替代方案：用户拒绝后，允许手动输入或跳过；避免频繁弹窗：若用户选择'不再询问'，应引导至系统设置页开启。

二、敏感数据安全存储：加密是底线

2.1 使用 EncryptedKVStore（推荐）

对于账号密码、健康数据等，绝不能明文存 Preferences 或 RDB。应使用加密 KV 存储：

// common/SecureStorage.ts
import kvStore from '@ohos.data.kvStore';
import { BusinessError } from '@ohos.base';

let secureStore: kvStore.KVStore | null = null;

export async function initSecureStore(): Promise<void> {
  const config: kvStore.Options = {
    createIfMissing: true,
    encrypt: true, // 关键：启用加密
    backup: false, // 加密数据不参与云备份
    kvStoreType: kvStore.KVStoreType.SINGLE_VERSION
  };
  try {
    secureStore = await kvStore.getKVStore('secure_health_data', config);
  } catch (err) {
    throw new BusinessError(`Failed to init secure store: ${err}`);
  }
}

export async function saveHealthToken(token: string): Promise<void> {
  if (!secureStore) await initSecureStore();
  await secureStore.put('health_token', token);
}

export async function getHealthToken(): Promise<string | null> {
  if (!secureStore) await initSecureStore();
  return await secureStore.get('health_token');
}

🔒 加密原理：数据使用设备级密钥加密，即使 root 也无法直接读取。

2.2 高安全场景：集成 HUKS（硬件级密钥库）

对于金融、政务类应用，可调用 Huawei Universal Keystore System (HUKS) 实现：

• 密钥生成/存储在 TEE（可信执行环境）；
• 加解密操作在安全芯片内完成；
• 私钥永不离开设备。

// 使用 @ohos.security.huks 进行 RSA 签名
import huks from '@ohos.security.huks';

const properties: huks.HuksParam[] = [
  { tag: huks.HuksTag.HUKS_TAG_ALGORITHM, uint32Param: huks.HuksAlgorithm.HUKS_ALG_RSA },
  { tag: huks.HuksTag.HUKS_TAG_KEY_SIZE, uint32Param: huks.HuksKeySize.HUKS_RSA_KEY_SIZE_2048 }
];
await huks.generateKeyItem('my_rsa_key', properties);
const signature = await huks.sign('my_rsa_key', { data: 'sensitive_data' });

💡 提示：HUKS 需在 module.json5 中声明 ohos.permission.USE_HUKS。

三、网络通信安全：HTTPS 不是终点

3.1 强制 HTTPS + 证书校验

HarmonyOS 默认禁止 HTTP 明文通信（除非在 module.json5 中显式允许）。

但仅用 HTTPS 仍可能遭遇中间人攻击（MITM）。应启用 证书锁定（Certificate Pinning）：

// network/SecureHttpClient.ts
import http from '@ohos.net.http';

const EXPECTED_PUBLIC_KEY = 'sha256/AAAAAAAA...'; // 服务器公钥指纹

export function createSecureRequest(url: string): http.HttpRequest {
  const request = http.createHttp();
  // 设置 SSL 配置（HarmonyOS 4.0+ 支持）
  request.setSSLCustomTrust({
    onVerifyPeer: (certChain: string[]) => {
      const actual = computePublicKeyHash(certChain[0]);
      return actual === EXPECTED_PUBLIC_KEY;
    }
  });
  return request;
}

⚠️ 注意：HarmonyOS 当前（API 10）对自定义证书校验支持有限，建议：使用 华为 HMS Core 的 Safety Detect 服务检测网络风险；敏感接口增加 二次签名验证（如 HMAC-SHA256）。

四、隐私合规：从代码到上架的全流程

4.1 隐私政策必备内容

根据中国《App 违法违规收集使用个人信息行为认定方法》，你的隐私政策必须包含：

• 收集的个人信息类型及用途；
• 是否共享给第三方；
• 用户权利（查询、更正、删除）；
• 数据存储地点与期限；
• DPO（数据保护官）联系方式（如适用）。

📄 模板建议：在应用'关于'页面提供链接，并在首次启动时弹出同意框。

4.2 AppGallery 安全审核高频拒因