如何在 Capacitor 应用中处理用户数据

在应用中处理用户数据 Capacitor 需要安全的存储方式、明确的保留策略，并遵守诸如 GDPR 以及 CCPA. 本指南将介绍如何最大限度地减少数据收集、保护敏感信息并有效管理权限。以下是核心内容概览：

数据最小化：仅收集实现特定应用功能所必需的数据。
安全存储：使用如下工具进行 @capacitor/secure-storage 插件加密。
数据保留：根据设定的时间限制实现自动删除。
用户权利：允许用户访问、删除或导出其数据。
权限管理：在合适的场景下请求权限，并为被拒绝的请求提供替代方案。
OTA 更新：使用以下工具确保 OTA 更新安全 Capgo.

如何使用 Ionic Capacitor 安全存储

Capacitor 框架文档网站

减少数据收集

采取结构化的方法进行数据收集的审查、规划和管理，是遵守隐私法规的关键。通过利用 Capacitor 提供的内置工具来最小化数据收集，您可以采取实际措施来优化应用的数据处理实践。

数据收集审查

首先，梳理数据在应用中的流向。使用数据血缘可视化工具来发现可能收集了不必要数据的环节。隐私影响评估 (PIA) 软件可以指导您评估每项数据是否确实必要。以下是需要重点关注的领域：

数据类型	审查重点	行动项
用户输入	表单字段与校验	移除不必要的字段
API 调用	请求/响应 Payload	过滤多余的数据字段
存储	缓存与持久化数据	优化存储使用
数据分析	使用情况追踪	仅保留核心指标

数据收集目标

明确每项数据的收集原因。每个数据点都应有明确用途。例如：

// Purpose-driven data collection example
const userPreferences = {
  location: "Used for local weather updates",
  notification: "Needed for sending alerts"
};

如果应用包含天气功能，可能只需要邮编 code 而非完整地址。这种方法能确保你仅收集实现应用核心功能所必需的信息。[1][5].

数据输入控制

使用校验工具来限制通过表单和 API 调用收集的数据量。结合客户端校验与服务端验证，以有效执行这些限制。

利用 Capacitor 的安全特性来增强这些控制：

尽可能使用下拉菜单而非自由文本框。
为文本输入框设置字符限制。

定期使用自动化发现工具进行季度审计，确保你的数据收集实践保持高效，并与应用的预期功能保持一致。

数据安全与存储

在明确数据收集范围后，务必在遵循数据最小化原则的同时，采取有效措施保护用户信息。

配置安全存储

本指南中介绍的 @capacitor/secure-storage 该 plugin 利用 iOS Keychain 和 Android Keystore 等内置安全特性来保护敏感数据 [1]。对于较大的结构化数据集， @capgo/capacitor-data-storage-sqlite 提供加密的 SQLite 存储，并且 @capgo/capacitor-persistent-account 可以在重新安装后保留账户状态。 @capgo/capacitor-privacy-screen 可以在应用切换器和最近任务预览中隐藏敏感 UI。

import { SecureStorage } from '@capacitor/secure-storage';

// Store sensitive data
await SecureStorage.set({
  key: 'authToken',
  value: 'user-specific-token'
});

// Retrieve stored data
const { value } = await SecureStorage.get({ key: 'authToken' });

数据加密方法

增加客户端加密可以提供额外的保护层。例如使用 CryptoJS 等库可以帮助加密敏感信息：

// Basic encryption/decryption implementation
const encryptData = (data: string, key: string): string => {
  return CryptoJS.AES.encrypt(data, key).toString();
};

定期轮换加密密钥是提升安全性的明智之举。这能确保即使某个密钥泄露，其余数据依然安全 [2].

存储方案对比

选择合适的存储方案取决于数据的敏感程度。以下是快速对比：

功能	安全存储	本地存储
安全级别	高（已加密）	基础
最适合	Token、密码	非敏感设置
性能	较慢（因加密导致）	访问速度更快

使用 Secure Storage API 是存储身份验证 Token 和用户个人数据等关键信息的可靠选择 [1][4]。其加密能力也符合数据保留策略，允许在指定时间范围内受控地访问数据 [2].

sbb-itb-f9944d2

数据存储时限

制定明确的数据保留策略有助于遵循数据最小化原则，确保信息不会被过度留存。

存储时间规则

应根据不同类型用户数据的用途和敏感程度，设定明确的保留周期。以下是管理数据保留的建议框架： Capacitor 应用:

数据类型	保留周期	保留理由
账户数据	直至账户注销或 2 年未活跃	账户相关操作所需
交易记录	7 年	符合金融监管要求
分析数据	90 天（匿名化），1 年（删除）	用于支持功能改进
营销偏好	直至取消订阅或注销账号	遵循用户授权要求

以下是如何通过代码实现带过期时间的数据存储示例：

async function storeDataWithExpiration(key: string, value: any, retentionDays: number) {
  const item = {
    value: value,
    expiration: Date.now() + (retentionDays * 24 * 60 * 60 * 1000)
  };
  await Preferences.set({ key, value: JSON.stringify(item) });
}

自动数据清理

自动化数据清理有助于保持合规性并减少人工干预。Capacitor 的 background fetch 功能是实现这一目标的利器：

import { BackgroundFetch } from '@capacitor/background-fetch';

BackgroundFetch.registerTask({
  taskId: 'data-cleanup',
  delay: 3600000,
  periodic: true,
  requiresNetworkConnectivity: false
}, async () => {
  await cleanExpiredData();
  return BackgroundFetch.Result.NewData;
});

如果你正在使用 SQLite 用于存储，你可以设置触发器来自动删除过期记录：

CREATE TRIGGER remove_expired_data
AFTER INSERT ON user_data
BEGIN
  DELETE FROM user_data 
  WHERE expiration_date < CURRENT_TIMESTAMP;
END;

用户数据删除选项

为用户提供管理数据的工具至关重要。你可以实现以下两个核心功能：

删除特定数据：允许用户移除与其账号关联的特定类型数据。

async function deleteSpecificData(userId: string, dataType: string) {
  await Preferences.remove({ key: `${userId}_${dataType}` });

  if (db) {
    await db.run(
      'DELETE FROM user_data WHERE user_id = ? AND data_type = ?',
      [userId, dataType]
    );
  }
}

导出用户数据：允许用户以结构化格式下载其存储的数据。

async function exportUserData(userId: string) {
  // Gathers all user data for export
  const userData = await collectUserData(userId);
  return JSON.stringify(userData);
}

法国数据保护机构 CNIL 强调数据保留期限必须与 App 的核心功能保持一致 [3]。这一原则对于 Capacitor App 开发者尤为重要，应作为你数据保留策略的指导方针。

应用权限控制

谨慎处理应用权限，是保护用户数据并确保应用按预期运行的关键。妥善管理权限，可以将访问范围限制在应用真正需要的设备功能上。Capacitor 的 Permissions API 为 iOS 和 Android 上的权限管理提供了统一方案。

权限请求步骤

请确保请求的权限与应用的数据收集目标一致。以下是在 Capacitor 应用中处理权限请求的示例实现：

import { Permissions } from '@capacitor/core';

const permissionHandler = async (permissionType: string) => {
  const status = await Permissions.query({ name: permissionType });

  if (status.state === 'granted') {
    return true;
  }

  const shouldProceed = await showExplanationDialog(
    `We need ${permissionType} access to provide core functionality`
  );

  if (shouldProceed) {
    const result = await Permissions.request({ name: permissionType });
    return result.state === 'granted';
  }

  return false;
};

处理被拒绝的权限

如果用户拒绝了权限请求，请提供清晰的替代方案和指引。示例如下：

const handleDeniedPermission = async (permissionType: string) => {
  const status = await Permissions.query({ name: permissionType });

  if (status.state === 'denied') {
    const alternatives = {
      camera: 'manual photo upload',
      location: 'manual address entry',
      notifications: 'in-app message center'
    };

    showAlternativeFeature(alternatives[permissionType]);

    if (status.canOpenSettings) {
      offerSettingsRedirect();
    }
  }
};

权限请求的时机

请求权限的时机很关键。策略性地选择时机能显著提高用户接受率。以下是几种时机策略的简要说明：

时机策略	最佳使用场景
即时请求	在需要时针对特定功能请求
上下文相关	针对非核心功能
首次启动	针对必须预先获取的核心功能
延迟请求	针对用户旅程后期可选的功能

例如，你可以在用户执行拍照等操作时，再请求相机权限：

const captureImage = async () => {
  const userStartedCapture = true;

  if (userStartedCapture) {
    const granted = await permissionHandler('camera');

    if (granted) {
      await startCamera();
    } else {
      showUploadOption();
    }
  }
};

与预先请求相比，这种上下文相关的请求可以将授权通过率提升 50% [2]。为了确保流畅的体验，请维护一个权限状态追踪器，以便在不同会话中保存用户的选择。

处理完权限后，你可以将重心转向保障更新安全，特别是针对 OTA 部署。

OTA 更新安全

为了确保在...期间的数据完整性应用更新，使用安全的 OTA (Over-The-Air) 更新流程至关重要。这些更新有助于防止 code 被未经授权地篡改，否则可能会绕过数据收集的限制。

更新包签名

对更新包进行签名是防止 code 被未经授权篡改的关键步骤。以下是保障 OTA 更新安全的几项核心措施：

安全措施	实现方式
内容保护	AES 加密
传输安全	使用带有证书固定 (Certificate Pinning) 的 HTTPS
更新完整性	哈希校验
版本安全性	签署的版本号
故障恢复	即时回滚能力

Capgo 更新系统

Capgo Live Update Dashboard 界面

Capgo 通过提供自动化安全特性，简化了 Capacitor 应用的安全 OTA 更新。以下是在应用中使用 Capgo 更新系统的示例：

import { CapacitorUpdater } from '@capgo/capacitor-updater';

const secureUpdate = async () => {
  try {
    const update = await CapacitorUpdater.download({
      version: 'latest',
      validateSignature: true
    });
    if (update.status === 'success') {
      await CapacitorUpdater.set(update);
    }
  } catch (error) {
    await CapacitorUpdater.rollback();
  }
};

这种方法确保了更新经过验证且安全，并在发生故障时提供回滚选项。

遵守应用商店政策

OTA 更新必须遵守应用商店指南[1][6][7]。每个平台都有特定要求，以确保更新符合其数据保留和安全政策：

平台	合规要求
iOS	仅限 JavaScript 或资源更新
Android	必须获得用户同意
两者皆是	安全检查与完善的文档记录

以下是实现符合应用商店合规要求的更新示例：

const compliantUpdate = async () => {
  const userConsent = await requestUpdateConsent();
  if (userConsent) {
    await CapacitorUpdater.setUpdateConfig({
      type: 'assets-only',
      scope: 'ui-updates' // Updates limited to UI components
    });
  }
};

const preventDowngrade = async (newVersion, currentVersion) => {
  const versions = await CapacitorUpdater.getVersions();
  if (versions.current.buildNumber > newVersion.buildNumber) {
    throw new Error('Downgrade attempt detected');
  }
};

总结

核心要点

有效处理用户数据需要结合以下核心策略：

仅收集必要的数据。
使用平台原生加密技术进行保护。
实现数据保留期限自动化。
设置详细的权限控制。

这些步骤相辅相成，确保从数据收集到自动删除的全过程都符合合规要求。

实施步骤

要将这些策略付诸实践：

使用第 2 节讨论的方法审计数据流。
按照第 3 节所述加强存储安全性。
根据第 4 节设置自动删除流程。
建立并执行第 5 节中详述的权限控制。

利用 Capgo

对于负责管理 OTA 更新的团队，Capgo 提供了与之配套的内置安全工具：

端到端加密 以确保更新包的安全。
实时监控 以便快速应对潜在的安全威胁。

延伸阅读：如何在 Capacitor 应用中处理用户数据

如果你正在使用 如何在 Capacitor 应用中处理用户数据 来规划安全与合规，请结合加密了解 Encryption 的实现细节，合规性了解合规部分的实现细节， Capgo 安全扫描器了解 Capgo Security Scanner 的产品工作流， Capgo 安全用于 Capgo 安全的产品工作流，以及 Capgo 信任中心用于 Capgo 信任中心的产品工作流。