把Token经过Base64再写入Preferences并不叫加密，任何能读取文件的人都能还原明文。真正的保护要同时解决密钥放在哪里、算法参数怎样固定、密文如何识别被篡改，以及用户退出后如何销毁访问能力。

方案面向HarmonyOS 6.1.1 Release SDK（API 24），系统Kit调用进入适配层，命令约束、状态归并和恢复策略进入可测试的业务层。范围包含状态与资源生命周期设计、失败恢复和验收合同，不包含业务内容生产、服务端协议改造以及特定厂商网页或媒体源的兼容承诺。

先给数据分级再决定保护强度

方案把昵称视为普通数据，把访问Token视为关键资产。Token不直接进入Preferences，而是转换为字节数组，通过固定别名的HUKS密钥加密；存储对象只包含version、algorithm、iv和cipherText。业务层永远拿不到原始密钥字节。

状态数量不是越多越好。每个状态必须回答三个问题：当前允许哪些命令、收到迟到事件怎样处理、页面退出后是否还可以更新UI。下面的状态对象携带operationId，新的操作开始后，旧操作回调会被拒绝。

export enum SecretVaultState {
  NO_KEY = 'no_key',
  KEY_READY = 'key_ready',
  ENCRYPTING = 'encrypting',
  STORED = 'stored',
  DECRYPTING = 'decrypting',
  INVALID = 'invalid'
}

export interface SecretVaultSnapshot {
  state: SecretVaultState;
  progress: number;
  message: string;
  operationId: number;
  updatedAt: number;
}

export type SecretVaultEvent =
  | { type: 'START'; operationId: number }
  | { type: 'PROGRESS'; operationId: number; progress: number }
  | { type: 'SUCCESS'; operationId: number }
  | { type: 'FAIL'; operationId: number; message: string };

export function acceptEvent(
  snapshot: SecretVaultSnapshot,
  event: SecretVaultEvent
): boolean {
  return event.type === 'START' || event.operationId === snapshot.operationId;
}

密钥别名就是生命周期边界

密钥生成、存在性查询、加密、解密和销毁封装在SecretVault中。解密失败统一返回受控错误，不尝试把密文当成旧明文。版本升级使用双读单写：可以读取明确标记的旧加密包，成功后立即写回新版本；没有版本字段的数据不自动迁移。

这套分层把系统事实和产品行为分开：Kit适配器负责获得事实，领域对象决定是否接受事件，页面只渲染快照。更换API版本或加入真机能力时，只需要替换适配器；状态归并和异常策略仍可在模拟器中重复验证。

加密包必须携带版本与随机参数

下面是主题专属的接入或核心算法代码。示例刻意保留资源创建、前置条件和清理逻辑，因为高频故障往往出现在成功调用之外。

import { huks } from '@kit.UniversalKeystoreKit';

const ALIAS = 'feature_lab_token';

function generateOptions(): huks.HuksOptions {
  return { properties: [
    { tag: huks.HuksTag.HUKS_TAG_ALGORITHM, value: huks.HuksKeyAlg.HUKS_ALG_AES },
    { tag: huks.HuksTag.HUKS_TAG_KEY_SIZE, value: huks.HuksKeySize.HUKS_AES_KEY_SIZE_256 },
    { tag: huks.HuksTag.HUKS_TAG_PURPOSE,
      value: huks.HuksKeyPurpose.HUKS_KEY_PURPOSE_ENCRYPT |
        huks.HuksKeyPurpose.HUKS_KEY_PURPOSE_DECRYPT }
  ] };
}

export class KeyLifecycle {
  async ensureKey(): Promise<void> {
    const exists = await huks.hasKeyItem(ALIAS, generateOptions());
    if (!exists) await huks.generateKeyItem(ALIAS, generateOptions());
  }

  async deleteKey(): Promise<void> {
    const exists = await huks.hasKeyItem(ALIAS, generateOptions());
    if (exists) await huks.deleteKeyItem(ALIAS, generateOptions());
  }

  async status(): Promise<'READY' | 'MISSING'> {
    return await huks.hasKeyItem(ALIAS, generateOptions()) ? 'READY' : 'MISSING';
  }
}

代码迁入业务工程时，应把错误码转换为稳定的领域错误，不让页面直接判断系统错误字符串。对于异步回调，还要在写入状态前比较operationId或资源版本；仅检查组件是否存在，无法阻止旧任务污染新页面。

解密失败不能回退明文

异常注入按钮用于稳定复现应用侧恢复路径。真实错误发生时，诊断记录同时保存错误码、权限结果、设备能力和用户可见状态；敏感原始数据不进入日志，截图只呈现与问题直接相关的结果。

密文篡改实验

页面层不直接调用Kit，而是通过动作按钮驱动同一份状态模型。这样既能在系统能力可用时接真实适配器，也能在模拟器缺少硬件时验证错误页面、幂等逻辑和资源清理。

@Component
struct SecretVaultPanel {
  @State stateText: string = 'NO_KEY';
  @State progress: number = 0;
  @State logs: string[] = [];

  private append(message: string): void {
    const time = new Date().toLocaleTimeString();
    this.logs = [`${time}  ${message}`, ...this.logs].slice(0, 8);
  }

  private startDemo(): void {
    this.stateText = 'KEY_READY';
    this.progress = 20;
    this.append('开始：HUKS AES敏感数据加密');
  }

  private injectFailure(): void {
    this.stateText = 'INVALID';
    this.append('已注入可恢复故障');
  }

  build() {
    Column({ space: 12 }) {
      Text('HUKS AES敏感数据加密').fontSize(24).fontWeight(FontWeight.Bold)
      Text(this.stateText).fontSize(18).fontColor('#2563EB')
      Progress({ value: this.progress, total: 100 }).width('100%')
      Row({ space: 12 }) {
        Button('开始实验').onClick(() => this.startDemo())
        Button('注入故障').onClick(() => this.injectFailure())
      }
      ForEach(this.logs, (item: string) => Text(item).fontSize(13))
    }.padding(20).width('100%')
  }
}

输入固定测试Token后展示明文长度、密文十六进制摘要和解密结果；手动修改一个密文字节，必须进入INVALID；销毁密钥后再次解密必须失败。截图不展示完整Token，只显示脱敏值和状态。

密钥别名不能直接拼接用户输入，推荐使用稳定业务名和内部用户标识的摘要。切换账号时先关闭当前会话，再切换别名；如果先更新UI账号再完成密钥切换，异步解密结果可能落到错误用户。加密包中的iv不能固定复用，算法、填充和认证参数也要随version保存。日志只记录操作阶段与错误码，不打印options中的二进制参数。安全验收关注“未经授权不能得到明文”，而不是仅验证正常解密能够成功。备份恢复时若设备密钥不可用，应提示重新认证获取业务数据，不能悄悄生成新密钥覆盖旧密文。

验收记录至少包括SDK版本、模拟器系统版本、操作顺序、预期状态、实际状态和截图编号。快速点击、返回再进入、故障后重试和页面销毁是必测项；涉及资源的主题还要显示活动对象计数，涉及异步任务的主题要验证迟到结果不会改变当前页面。

退出登录后的密钥处理

这套方案的技术闭环由“输入约束—状态模型—Kit适配—异常恢复—可观察验收”组成。业务状态不持有系统对象，适配器不直接操作页面，异常路径有明确的恢复动作，后续SDK升级时可以分别回归每一层。

官方资料：HUKS相关开发文档