当满足以下任一条件时，就会产生 file permission manipulation 错误：

1. 攻击者能够指定在 file system 中修改权限的操作所使用的路径。

2. 攻击者能够指定 file system 上的操作所分配的权限。

示例 1：以下代码使用来自系统属性的输入来设置默认权限掩码。如果攻击者更改了系统属性，则他们可以使用该程序获得该程序所处理文件的访问权限。如果程序还容易受路径篡改攻击，那么攻击者可能会利用这一漏洞访问系统中的任意文件。

  String permissionMask = System.getProperty("defaultFileMask");
  Path filePath = userFile.toPath();
  ...
  Set<PosixFilePermission> perms = PosixFilePermissions.fromString(permissionMask);
  Files.setPosixFilePermissions(filePath, perms);
...

如果您使用 Blaze DS 来记录所有意外事件，services-config.xml 描述符文件会指定一个“Logging”XML 元素来描述日志记录的不同方面。它类似于以下内容：

示例：

<logging>
    <target class="flex.messaging.log.ConsoleTarget" level="Debug">
        <properties>
            <prefix>[BlazeDS]</prefix>
            <includeDate>false</includeDate>
            <includeTime>false</includeTime>
            <includeLevel>false</includeLevel>
            <includeCategory>false</includeCategory>
        </properties>
        <filters>
            <pattern>Endpoint.*</pattern>
            <pattern>Service.*</pattern>
            <pattern>Configuration</pattern>
        </filters>
    </target>
</logging>

此 target 标签可采用一个名为 level 的可选属性，用来指示日志级别。如果调试级别设置为太详细的级别，您的应用程序可能会将敏感数据写入日志文件。

Format string 漏洞会在以下情况下发生：

1. 数据从不可信赖的数据源进入应用程序。



2. 数据作为 format string 参数传送到某个函数，如 sprintf()、FormatMessageW() 或 syslog()。
示例 1：以下代码使用 snprintf() 将一个命令行参数复制到缓冲区中。

int main(int argc, char **argv){
	char buf[128];
	...
	snprintf(buf,128,argv[1]);
}

该代码允许攻击者查看堆栈的内容，并使用包含一连串的格式化指令的命令行参数对堆栈进行写入。攻击者能够通过提供更多的格式化指令（如 %x）来读取堆栈中的内容，然后函数会作为即将格式化的参数使用。（在本例中，函数没有采用任何即将格式化的参数。）通过使用 %n 格式化指令，攻击者能够对堆栈进行写入，进而使 snprintf() 记下迄今为止输出的字节数，并将其传送给指定的参数（而不是直接从参数中读取数值，这是程序员最初设计的行为）。对于这种攻击，更为的复杂的形式是使用四条交错的写入来完全控制堆栈中某个指针的值。

示例 2：有些实现方式通过提供格式化指令来控制内存中的读写位置，这样可以简化较高级的攻击。以下代码就是这种指令的一个例子，它为 glibc 而写：

	printf("%d %d %1$d %1$d\n", 5, 9);

该代码产生了如下输出：

5 9 5 5

此外，还可以使用 half-writes (%hn) 来准确地控制内存中的任意 DWORDS，这会大大地降低执行攻击的难度，否则此攻击将需要进行四次交错写入，如Example 1 中所述。

示例 3：简单的 format string 漏洞通常由表面上看似没有什么危险的快捷方式所导致。某些快捷方式的使用已经深入人心，以致于程序员可能都不会意识到他们所使用的函数需要一个 format string 参数。

例如，syslog() 函数有时候可以这样使用：

	...
	syslog(LOG_ERR, cmdBuf);
	...

由于 syslog() 的第二个参数是格式字符串，因此 cmdBuf 中的任何格式化指令都会按照Example 1 中所述进行解释。

以下代码显示了 syslog() 的正确使用方式：

	...
	syslog(LOG_ERR, "%s", cmdBuf);
	...

Buffer overflow 可能是人们最熟悉的一种软件安全漏洞。虽然绝大多数软件开发者都知道什么是 Buffer overflow 漏洞，但是无论是对继承下来的或是新开发的应用程序来说，Buffer overflow 攻击仍然是一种最常见的攻击形式。对于这个问题出现的原因，一方面是造成 buffer overflow 漏洞的方式有很多种，另一方面是用于防止 buffer overflow 的技术也容易出错。

在一个典型的 buffer overflow 攻击中，攻击者将数据传送到某个程序，程序会将这些数据储存到一个较小的堆栈缓冲区内。结果，调用堆栈上的信息会被覆盖，其中包括函数的返回指针。数据会被用来设置返回指针的值，这样，当该函数返回时，函数的控制权便会转移给包含在攻击者数据中的恶意代码。

虽然这种类型的堆栈 buffer overflow 在某些平台和开发组织中十分常见，但仍不乏存在其他各种类型的 buffer overflow，其中包括堆 buffer overflow 和 off-by-one 错误等。有关 buffer overflow 如何进行攻击的详细信息，许多优秀的著作都进行了相关介绍，如 Building Secure Software [1]、Writing Secure Code [2] 以及 The Shellcoder's Handbook [3]。

在代码层上，buffer overflow 漏洞通常会违反程序员的各种假设。C 和 C++ 中的很多内存处理函数都没有执行边界检查，因而可轻易地超出缓冲区所操作的、已分配的边界。即使是边界函数（如 strncpy()），使用方式不正确也会引发漏洞。对内存的处理加之有关数据段大小和结构方面所存在种种错误假设，是导致大多数 buffer overflow 漏洞产生的根源。

在这种情况下，结构不良的 format string 会导致程序访问分配的内存边界之外的值。

示例：以下代码会从堆栈中读取任意值，因为格式说明符的数量与传递给该函数的参数数量不一致。

void wrongNumberArgs(char *s, float f, int d) {
   char buf[1024];
   sprintf(buf, "Wrong number of %.512s");
}

Buffer overflow 可能是人们最熟悉的一种软件安全漏洞。虽然绝大多数软件开发者都知道什么是 Buffer overflow 漏洞，但是无论是对继承下来的或是新开发的应用程序来说，Buffer overflow 攻击仍然是一种最常见的攻击形式。对于这个问题出现的原因，一方面是造成 buffer overflow 漏洞的方式有很多种，另一方面是用于防止 buffer overflow 的技术也容易出错。

在一个典型的 buffer overflow 攻击中，攻击者将数据传送到某个程序，程序会将这些数据储存到一个较小的堆栈缓冲区内。结果，调用堆栈上的信息会被覆盖，其中包括函数的返回指针。数据会被用来设置返回指针的值，这样，当该函数返回时，函数的控制权便会转移给包含在攻击者数据中的恶意代码。

虽然这种类型的堆栈 buffer overflow 在某些平台和开发组织中十分常见，但仍不乏存在其他各种类型的 buffer overflow，其中包括堆 buffer overflow 和 off-by-one 错误等。有关 buffer overflow 如何进行攻击的详细信息，许多优秀的著作都进行了相关介绍，如 Building Secure Software [1]、Writing Secure Code [2] 以及 The Shellcoder's Handbook [3]。

在代码层上，buffer overflow 漏洞通常会违反程序员的各种假设。C 和 C++ 中的很多内存处理函数都没有执行边界检查，因而可轻易地超出缓冲区所操作的、已分配的边界。即使是边界函数（如 strncpy()），使用方式不正确也会引发漏洞。对内存的处理加之有关数据段大小和结构方面所存在种种错误假设，是导致大多数 buffer overflow 漏洞产生的根源。

在这里，一个不正确地构成的 format string 会导致程序错误地进行值的转换，或访问分配的内存边界之外的值。

示例：以下代码使用 %d 格式说明符将一个浮点转换为 f。

void ArgTypeMismatch(float f, int d, char *s, wchar *ws) {
   char buf[1024];
   sprintf(buf, "Wrong type of %d", f);
   ...
}

包含来自其他网站的可执行内容是非常危险的。这就会将您站点的安全与其他站点的安全绑在一起。

示例：请考虑以下 script 标签。

  <script src="http://www.example.com/js/fancyWidget.js"></script>

如果此标签出现在 www.example.com 以外的网站中，则该站点将依赖 www.example.com 来运行正确的非恶意代码。如果攻击者可以入侵 www.example.com，则他们可以篡改 fancyWidget.js 的内容，损害站点安全。例如，他们可以将代码添加到 fancyWidget.js 中，窃取用户的机密数据。

HTTP Parameter Pollution (HPP) 攻击包含将编码的查询字符串分隔符注入其他现有的参数中。如果 Web 应用程序没有正确地检查用户输入，恶意用户可能会破坏应用程序的逻辑，进行客户端侧或服务器侧攻击。如果再向 Web 应用程序提交参数，并且如果这些参数与现有参数的名称相同，则 Web 应用程序可能会有下列一种反应：

它可能只从第一个参数中提取数据
它可能从最后一个参数中提取数据
它可能从所有参数中提取数据并把它们连接起来


例如：
- ASP.NET/IIS 使用所有情况下出现的参数
- Apache Tomcat 仅使用第一次出现的参数并忽略其他参数
- mod_perl/Apache 将值转换为值数组

例 1：根据应用程序服务器和应用程序自身的逻辑，下列请求可能造成与身份验证系统的混淆，使攻击者能模拟别的用户。
http://www.example.com/login.php?name=alice&name=hacker

例 2：下列代码使用来自于 HTTP 请求的输入来呈现两个超链接。

    ...
    String lang = request.getParameter("lang");
    GetMethod get = new GetMethod("http://www.example.com");
    get.setQueryString("lang=" + lang + "&poll_id=" + poll_id);
    get.execute();
    ...

URL：http://www.example.com?poll_id=4567
链接 1：<a href="001">英语<a>
链接 2：<a href="002">西班牙语<a>

程序员尚未考虑下面这种可能性：攻击者可能会提供一个 lang（例如 en&poll_id=1），然后攻击者将可以随意更改该 poll_id。

键盘扩展可以读取用户输入的每一个按键。第三方键盘通常用于简化文本输入或添加额外的表情符号，他们可以记录用户输入的内容，甚至将其发送到远程服务器进行处理。恶意键盘还可以作为键盘记录器来分发，以读取用户输入的每一个键，从而窃取凭据或信用卡号等敏感数据。

Android 备份服务允许应用程序将持久性数据保存到远程云存储，以便日后作为应用程序数据还原点。

Android 应用程序可通过此备份服务进行配置，即将 allowBackup 属性设置为 true（默认值），并在 <application> 标签上定义 backupAgent 属性。

但是，Android 不保证使用备份期间的数据安全性，因为云存储和传输因设备而异。

保存到外部存储上的文件可随意读取，并且能够被启用 USB 海量存储来传输计算机上的文件的用户修改。另外，即便卸载了将文件写入外部存储卡的应用程序，这些文件也不会被删除。这些缺陷会危及写入存储的敏感信息，或者使攻击者能够通过修改程序所依赖的外部文件将恶意数据注入程序。

示例 1：在以下代码中，Environment.getExternalStorageDirectory() 会返回对 Android 设备的外部存储的引用。

 private void WriteToFile(String what_to_write) {
        try{
            File root = Environment.getExternalStorageDirectory();
            if(root.canWrite()) {
                File dir = new File(root + "write_to_the_SDcard");
                File datafile = new File(dir, number + ".extension");
                FileWriter datawriter = new FileWriter(datafile);
                BufferedWriter out = new BufferedWriter(datawriter);
                out.write(what_to_write);
                out.close();
             }
        }
   }

使用 MODE_WORLD_READBLE 或 MODE_WORLD_WRITEABLE 存储在 Android 内部存储中的数据可供设备上的所有应用程序访问。这不仅无法防止数据损坏，而且如果是敏感信息的话，可能违反用户隐私和安全事宜。

将数据存储到密钥链中时，需要设置可访问性级别以定义可在何时访问项目。可用的可访问性级别如下所示：

-kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly:
重新启动后，将无法访问密钥链项目中的数据，直到用户将设备解除锁定一次。
第一次解除锁定后，数据将保持可访问状态，直到下次重新启动。推荐将此属性用于需要由后台应用程序访问的项目。具有此属性的项目不会迁移到新设备。因此，从不同设备的备份恢复后，这些项目将不存在。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleAlways:
始终可访问密钥链项目中的数据，无论设备是否已锁定。
不建议用于应用程序。具有此属性的项目在使用加密备份时会迁移到新设备。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly:
只能在设备解除锁定时访问密钥链中的数据。仅在设备上设置了密码时可用。
建议只用于当应用程序处于前台时才需要访问的项目。具有此属性的项目不会迁移到新设备。将备份恢复到新设备后，这些项目将丢失。不能在没有密码的设备上的此类中存储任何项目。禁用设备密码将会删除此类中的所有项目。
在 iOS 8.0 和更高版本中可用。

-kSecAttrAccessibleAlwaysThisDeviceOnly:
始终可访问密钥链项目中的数据，无论设备是否已锁定。
不建议用于应用程序。具有此属性的项目不会迁移到新设备。因此，从不同设备的备份恢复后，这些项目将不存在。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleWhenUnlocked:
只能在用户对设备解除锁定时访问密钥链项目中的数据。
建议只用于当应用程序处于前台时才需要访问的项目。具有此属性的项目在使用加密备份时会迁移到新设备。
这是在没有明确设置可访问性常量的情况下添加密钥链项目时的默认值。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleWhenUnlockedThisDeviceOnly:
只能在用户对设备解除锁定时访问密钥链项目中的数据。
建议只用于当应用程序处于前台时才需要访问的项目。具有此属性的项目不会迁移到新设备。因此，从不同设备的备份恢复后，这些项目将不存在。
在 iOS 4.0 和更高版本中可用。

如果项目的可访问性级别中不包含 ThisDeviceOnly，那么该项目将备份到 iCloud，并且即便在使用可恢复到任意设备的未加密备份的情况下仍然会备份到 iTunes。这可能会导致隐私问题，具体取决于所存储数据的敏感和私密程度。

示例 1：在以下示例中，除了设备处于打开或解除锁定状态时，密钥链项目始终受保护，但将会备份到 iCloud 和未加密的 iTunes 备份中：

...
    NSMutableDictionary *dict = [NSMutableDictionary dictionary];
    NSData *token = [@"secret" dataUsingEncoding:NSUTF8StringEncoding];

    // Configure KeyChain Item
    [dict setObject:(__bridge id)kSecClassGenericPassword forKey:(__bridge id) kSecClass];
    [dict setObject:token forKey:(__bridge id)kSecValueData];
    ...
    [dict setObject:(__bridge id)kSecAttrAccessibleWhenUnlocked forKey:(__bridge id) kSecAttrAccessible];

    OSStatus error = SecItemAdd((__bridge CFDictionaryRef)dict, NULL);
...

HTTP(S) 响应中可能包含敏感数据，例如会话 Cookie 和 API 标记。 出于性能方面的考虑，URL 加载系统会对所有 HTTP(S) 响应进行缓存，将它们以未加密的形式存储在不安全的共享存储中。

示例 1： 以下代码将 HTTP(S) 响应缓存安装在共享存储空间：

    protected void onCreate(Bundle savedInstanceState) {
       ...

       try {
           File httpCacheDir = new File(context.getExternalCacheDir(), "http");
           long httpCacheSize = 10 * 1024 * 1024; // 10 MiB
           HttpResponseCache.install(httpCacheDir, httpCacheSize);
       } catch (IOException e) {
           Log.i(TAG, "HTTP response cache installation failed:" + e);
       }
    }

    protected void onStop() {
       ...

       HttpResponseCache cache = HttpResponseCache.getInstalled();
       if (cache != null) {
           cache.flush();
       }
   }

HTTP(S) 响应中可能包含敏感数据，例如会话 cookie 和 API 标记。出于性能方面的考虑，URL 加载系统会对所有 HTTP(S) 请求进行缓存，并将它们以未加密的形式保存在 {app ID}/Library/Caches/com.mycompany.myapp/Cache.db* 文件中。
开发者也许认为将 URLCache 类的 diskCapacity 或 memoryCapacity 属性设置为 0，就能成功禁用 HTTP(S) 响应缓存系统。但是，NSURLCache 文档指出，只有在设备的内存或磁盘空间不足的情况下，才会将磁盘和内存缓存缩减到配置的大小。这两项设置都是系统用来释放其资源以提高性能的，而非用于安全控制。

数据保护 API 旨在让应用程序能够声明，何时应可访问文件系统中存储的密钥链和文件中的项目。它可用于大部分文件和数据库 API，包括 NSFileManager、CoreData、NSData 和 SQLite。通过为给定资源指定四个保护级别的其中之一，开发人员可以指令底层文件系统使用从设备 UID 和用户密码中派生的密钥或完全基于设备 UID 的密钥，对该给定资源进行加密（以及何时进行自动解密）。

NSFileManager 的数据保护类会定义为常量，以便在与 NSFileManager 实例相关联的 NSDictionary 中指定为 NSFileProtectionKey 键的值，并可通过使用 NSFileManager 函数（包括 setAttributes:ofItemAtPath:error:、attributesOfItemAtPath:error: 和 createFileAtPath:contents:attributes:）创建文件或修改其数据保护类。此外，NSData 对象的相应数据保护常量会定义为 NSDataWritingOptions，并可将其作为 options 参数传递到 NSData 函数 writeToURL:options:error: 和 writeToFile:options:error:。NSFileManager 和 NSData 的各种数据保护类常量定义如下：

-NSFileProtectionComplete, NSDataWritingFileProtectionComplete:
当设备被锁定或正在引导时，资源以加密格式存储在磁盘上，且无法读取或写入。
在 iOS 4.0 和更高版本中可用。
-NSFileProtectionCompleteUnlessOpen, NSDataWritingFileProtectionCompleteUnlessOpen:
资源以加密格式存储在磁盘上。当设备被锁定时可以创建资源，但一旦关闭设备，则在设备解除锁定之前将无法再打开设备。如果资源解除锁定后打开了资源，则即使用户锁定了装置，您也可以继续正常访问资源。
在 iOS 5.0 和更高版本中可用。
-NSFileProtectionCompleteUntilFirstUserAuthentication, NSDataWritingFileProtectionCompleteUntilFirstUserAuthentication:
资源以加密格式存储在磁盘上，在设备完成引导之前将一直无法进行访问。在用户首次将设备解除锁定后，即使用户随后锁定设备，您的应用程序也可以访问该资源并且可以持续进行访问。
在 iOS 5.0 和更高版本中可用。
-NSFileProtectionNone, NSDataWritingFileProtectionNone:
此资源没有与其相关联的特殊保护。它可以随时读取或写入。
在 iOS 4.0 和更高版本中可用。

因此，用 NSFileProtectionCompleteUnlessOpen 或 NSFileProtectionCompleteUntilFirstUserAuthentication 标记一个文件，就会使用从用户密码或设备 UID 派生的密钥对其进行加密，但在某些情况下依然可以访问数据。因此，应该对 NSFileProtectionCompleteUnlessOpen 或 NSFileProtectionCompleteUntilFirstUserAuthentication 的用法进行仔细审核，以确定是否需要使用 NSFileProtectionComplete 执行进一步保护。

例 1：以下例子中，给定的文件仅在用户首次打开设备和提供密码前受保护（直到下次重新引导）：

...
filepath = [self.GetDocumentDirectory stringByAppendingPathComponent:self.setFilename];
...
NSDictionary *protection = [NSDictionary dictionaryWithObject:NSFileProtectionCompleteUntilFirstUserAuthentication forKey:NSFileProtectionKey];
...
[[NSFileManager defaultManager] setAttributes:protection ofItemAtPath:filepath error:nil];
...
BOOL ok = [testToWrite writeToFile:filepath atomically:YES encoding:NSUnicodeStringEncoding error:&err];
...

例 2：以下例子中，给定的数据仅在用户首次打开设备和提供密码前受保护（直到下次重新引导）：

...
filepath = [self.GetDocumentDirectory stringByAppendingPathComponent:self.setFilename];
...
NSData *textData = [textToWrite dataUsingEncoding:NSUnicodeStingEncoding];
...
BOOL ok = [textData writeToFile:filepath options:NSDataWritingFileProtectionCompleteUntilFirstUserAuthentication error:&err];
...

密钥链可访问性常量旨在使应用程序能够声明何时可访问密钥链中的项目。通过为给定密钥链项目指定某一个可访问性常量，开发人员可以指示底层文件系统使用从设备 UID 和用户密码中派生的密钥或完全基于设备 UID 的密钥，对该给定项目进行加密（以及何时进行自动解密）。

密钥链可访问性常量应指定为密钥链属性字典中 kSecAttrAccessible 键的值。下面列出了各种密钥链可访问性常量的定义：

-kSecAttrAccessibleAfterFirstUnlock:
重新启动后，将无法访问密钥链项目中的数据，直到用户将设备解除锁定一次。
第一次解除锁定后，数据将保持可访问状态，直到下次重新启动。推荐将此属性用于需要由后台应用程序访问的项目。具有此属性的项目在使用加密备份时会迁移到新设备。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly:
重新启动后，将无法访问密钥链项目中的数据，直到用户将设备解除锁定一次。
第一次解除锁定后，数据将保持可访问状态，直到下次重新启动。推荐将此属性用于需要由后台应用程序访问的项目。具有此属性的项目不会迁移到新设备。因此，从不同设备的备份恢复后，这些项目将不存在。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleAlways:
始终可访问密钥链项目中的数据，无论设备是否已锁定。
不建议用于应用程序。具有此属性的项目在使用加密备份时会迁移到新设备。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly:
只能在设备解除锁定时访问密钥链中的数据。仅在设备上设置了密码时可用。
建议只用于当应用程序处于前台时才需要访问的项目。具有此属性的项目不会迁移到新设备。将备份恢复到新设备后，这些项目将丢失。不能在没有密码的设备上的此类中存储任何项目。禁用设备密码将会删除此类中的所有项目。
在 iOS 8.0 和更高版本中可用。

-kSecAttrAccessibleAlwaysThisDeviceOnly:
始终可访问密钥链项目中的数据，无论设备是否已锁定。
不建议用于应用程序。具有此属性的项目不会迁移到新设备。因此，从不同设备的备份恢复后，这些项目将不存在。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleWhenUnlocked:
只能在用户对设备解除锁定时访问密钥链项目中的数据。
建议只用于当应用程序处于前台时才需要访问的项目。具有此属性的项目在使用加密备份时会迁移到新设备。
这是在没有明确设置可访问性常量的情况下添加密钥链项目时的默认值。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleWhenUnlockedThisDeviceOnly:
只能在用户对设备解除锁定时访问密钥链项目中的数据。
建议只用于当应用程序处于前台时才需要访问的项目。具有此属性的项目不会迁移到新设备。因此，从不同设备的备份恢复后，这些项目将不存在。
在 iOS 4.0 和更高版本中可用。

因此，用 kSecAttrAccessibleAfterFirstUnlock 标记一个密钥链项目，就会使用从用户密码或设备 UID 派生的密钥对其进行加密，但在某些情况下依然可以访问数据。因此，应该对 kSecAttrAccessibleAfterFirstUnlock 的用法进行仔细审核，以确定是否需要执行进一步保护。

示例 1：在以下示例中，给定密钥链项目仅在用户首次打开设备和提供密码前受保护（直到下次重新引导）：

...
    NSMutableDictionary *dict = [NSMutableDictionary dictionary];
    NSData *token = [@"secret" dataUsingEncoding:NSUTF8StringEncoding];

    // Configure KeyChain Item
    [dict setObject:(__bridge id)kSecClassGenericPassword forKey:(__bridge id) kSecClass];
    [dict setObject:token forKey:(__bridge id)kSecValueData];
    ...
    [dict setObject:(__bridge id)kSecAttrAccessibleAfterFirstUnlock forKey:(__bridge id) kSecAttrAccessible];

    OSStatus error = SecItemAdd((__bridge CFDictionaryRef)dict, NULL);
...

数据保护 API 旨在让应用程序能够声明，何时应可访问文件系统中存储的密钥链和文件中的项目。它可用于大部分文件和数据库 API，包括 NSFileManager、CoreData、NSData 和 SQLite。通过为给定资源指定四个保护级别的其中之一，开发人员可以指令底层文件系统使用从设备 UID 和用户密码中派生的密钥或完全基于设备 UID 的密钥，对该给定资源进行加密（以及何时进行自动解密）。

NSFileManager 的数据保护类会定义为常量，以便在与 NSFileManager 实例相关联的 NSDictionary 中指定为 NSFileProtectionKey 键的值，并可通过使用 NSFileManager 函数（包括 setAttributes:ofItemAtPath:error:、attributesOfItemAtPath:error: 和 createFileAtPath:contents:attributes:）创建文件或修改其数据保护类。此外，NSData 对象的相应数据保护常量会定义为 NSDataWritingOptions，并可将其作为 options 参数传递到 NSData 函数 writeToURL:options:error: 和 writeToFile:options:error:。NSFileManager 和 NSData 的各种数据保护类常量定义如下：

-NSFileProtectionComplete, NSDataWritingFileProtectionComplete:
当设备被锁定或正在引导时，资源以加密格式存储在磁盘上，且无法读取或写入。
在 iOS 4.0 和更高版本中可用。
-NSFileProtectionCompleteUnlessOpen, NSDataWritingFileProtectionCompleteUnlessOpen:
资源以加密格式存储在磁盘上。当设备被锁定时可以创建资源，但一旦关闭设备，则在设备解除锁定之前将无法再打开设备。如果资源解除锁定后打开了资源，则即使用户锁定了装置，您也可以继续正常访问资源。
在 iOS 5.0 和更高版本中可用。
-NSFileProtectionCompleteUntilFirstUserAuthentication, NSDataWritingFileProtectionCompleteUntilFirstUserAuthentication:
资源以加密格式存储在磁盘上，在设备完成引导之前将一直无法进行访问。在用户首次将设备解除锁定后，即使用户随后锁定设备，您的应用程序也可以访问该资源并且可以持续进行访问。
在 iOS 5.0 和更高版本中可用。
-NSFileProtectionNone, NSDataWritingFileProtectionNone:
此资源没有与其相关联的特殊保护。它可以随时读取或写入。
在 iOS 4.0 和更高版本中可用。

即使 iOS 设备上的所有文件（包括没有显式分配数据保护级别的文件）是以加密形式存储，也请使用完全基于设备的 UID 派生的密钥，以加密形式指定 NSFileProtectionNone 结果。这使此文件在设备打开时随时可以进行访问，包括用密码锁定或正在引导时。因此，应该对 NSFileProtectionNone 的用法进行仔细审核，以确定是否需要执行更严格的数据保护。

例 1：在以下例子中，给定文件不受保护（设备打开时可随时访问）：

...
filepath = [self.GetDocumentDirectory stringByAppendingPathComponent:self.setFilename];
...
NSDictionary *protection = [NSDictionary dictionaryWithObject:NSFileProtectionNone forKey:NSFileProtectionKey];
...
[[NSFileManager defaultManager] setAttributes:protection ofItemAtPath:filepath error:nil];
...
BOOL ok = [testToWrite writeToFile:filepath atomically:YES encoding:NSUnicodeStringEncoding error:&err];
...

例 2：在以下例子中，给定数据不受保护（设备打开时可随时访问）：

...
filepath = [self.GetDocumentDirectory stringByAppendingPathComponent:self.setFilename];
...
NSData *textData = [textToWrite dataUsingEncoding:NSUnicodeStingEncoding];
...
BOOL ok = [textData writeToFile:filepath options:NSDataWritingFileProtectionNone error:&err];
...

密钥链可访问性常量旨在使应用程序能够声明何时可访问密钥链中的项目。通过为给定密钥链项目指定某一个可访问性常量，开发人员可以指示底层文件系统使用从设备 UID 和用户密码中派生的密钥或完全基于设备 UID 的密钥，对该给定项目进行加密（以及何时进行自动解密）。

密钥链可访问性常量应指定为密钥链属性字典中 kSecAttrAccessible 键的值。下面列出了各种密钥链可访问性常量的定义：

-kSecAttrAccessibleAfterFirstUnlock:
重新启动后，将无法访问密钥链项目中的数据，直到用户将设备解除锁定一次。
第一次解除锁定后，数据将保持可访问状态，直到下次重新启动。推荐将此属性用于需要由后台应用程序访问的项目。具有此属性的项目在使用加密备份时会迁移到新设备。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly:
重新启动后，将无法访问密钥链项目中的数据，直到用户将设备解除锁定一次。
第一次解除锁定后，数据将保持可访问状态，直到下次重新启动。推荐将此属性用于需要由后台应用程序访问的项目。具有此属性的项目不会迁移到新设备。因此，从不同设备的备份恢复后，这些项目将不存在。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleAlways:
始终可访问密钥链项目中的数据，无论设备是否已锁定。
不建议用于应用程序。具有此属性的项目在使用加密备份时会迁移到新设备。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly:
只能在设备解除锁定时访问密钥链中的数据。仅在设备上设置了密码时可用。
建议只用于当应用程序处于前台时才需要访问的项目。具有此属性的项目不会迁移到新设备。将备份恢复到新设备后，这些项目将丢失。不能在没有密码的设备上的此类中存储任何项目。禁用设备密码将会删除此类中的所有项目。
在 iOS 8.0 和更高版本中可用。

-kSecAttrAccessibleAlwaysThisDeviceOnly:
始终可访问密钥链项目中的数据，无论设备是否已锁定。
不建议用于应用程序。具有此属性的项目不会迁移到新设备。因此，从不同设备的备份恢复后，这些项目将不存在。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleWhenUnlocked:
只能在用户对设备解除锁定时访问密钥链项目中的数据。
建议只用于当应用程序处于前台时才需要访问的项目。具有此属性的项目在使用加密备份时会迁移到新设备。
这是在没有明确设置可访问性常量的情况下添加密钥链项目时的默认值。
在 iOS 4.0 和更高版本中可用。

-kSecAttrAccessibleWhenUnlockedThisDeviceOnly:
只能在用户对设备解除锁定时访问密钥链项目中的数据。
建议只用于当应用程序处于前台时才需要访问的项目。具有此属性的项目不会迁移到新设备。因此，从不同设备的备份恢复后，这些项目将不存在。
在 iOS 4.0 和更高版本中可用。

即使 iOS 设备上的所有文件（包括没有明确分配密钥链可访问性常量的文件）是以加密形式存储，也请使用完全基于设备的 UID 派生的密钥，以加密形式指定 kSecAttrAccessibleAlways 结果。这使此文件在设备打开时随时可以进行访问，包括用密码锁定或正在引导时。因此，应该对 kSecAttrAccessibleAlways 的用法进行仔细审核，以确定是否需要执行更严格的密钥链可访问性级别。

示例 1：在以下示例中，给定文件不受保护（设备打开时可随时访问）：

...
    NSMutableDictionary *dict = [NSMutableDictionary dictionary];
    NSData *token = [@"secret" dataUsingEncoding:NSUTF8StringEncoding];

    // Configure KeyChain Item
    [dict setObject:(__bridge id)kSecClassGenericPassword forKey:(__bridge id) kSecClass];
    [dict setObject:token forKey:(__bridge id)kSecValueData];
    ...
    [dict setObject:(__bridge id)kSecAttrAccessibleAlways forKey:(__bridge id) kSecAttrAccessible];

    OSStatus error = SecItemAdd((__bridge CFDictionaryRef)dict, NULL);
...

应用程序文件可以由根设备上或未加密备份中的其他应用程序访问。由于用户可以决定越狱其设备或执行未加密的备份，因此最好对包含敏感数据的数据库进行加密。

示例 1：以下代码建立到未加密的 Realm 数据库的连接：

    Realm realm = Realm.getDefaultInstance();

保存到 iOS 相册中的文件可随意读取，并且可供设备中的应用程序访问。攻击者可以利用这一特点盗取敏感的照片，例如，用于手机支票存款的支票图片。

例 1：下面的代码使用 UIImageWriteToSavedPhotosAlbum 将图像保存到相册：

- (void) imagePickerController:(UIImagePickerController *)picker didFinishPickingMediaWithInfo:(NSDictionary *)info
{
	// Access the uncropped image from info dictionary
	UIImage *image = [info objectForKey:UIImagePickerControllerOriginalImage];

  // Save image
  UIImageWriteToSavedPhotosAlbum(image, self, @selector(image:didFinishSavingWithError:contextInfo:), nil);

	...
}