DataStore + Tink で保存したシークレット情報を Flutter へ引き継いでみた

dependencies:
  flutter_secure_storage: ^9.0.0

final channel = MethodChannel('migration_channel');
final storage = FlutterSecureStorage();

// flutter_secure_storage にデータがなければ、ネイティブから移行
final existing = await storage.read(key: 'secret');
if (existing == null) {
  // Kotlin ネイティブ側で暗号化された値を復号し、平文として取得
  final secret = await channel.invokeMethod<String>('getMigratedSecret');
  // 値が存在すれば flutter_secure_storage に保存
  if (secret != null) {
    await storage.write(key: 'secret', value: secret);
  }
}

dependencies {
    implementation("androidx.datastore:datastore-preferences:1.1.1")
    implementation("com.google.crypto.tink:tink-android:1.13.0")
}

import android.content.Context
import android.util.Base64
import com.google.crypto.tink.Aead
import com.google.crypto.tink.KeyTemplates
import com.google.crypto.tink.aead.AeadConfig
import com.google.crypto.tink.integration.android.AndroidKeysetManager

class TinkCryptoManager(context: Context) {

    private val aead: Aead

    init {
        AeadConfig.register()
        aead = AndroidKeysetManager.Builder()
            .withSharedPref(context, "master_keyset", "master_key_pref") // Kotlin側と同じデータ暗号鍵の保存先を指定
            .withKeyTemplate(KeyTemplates.get("AES256_GCM"))             // Kotlin側と同じ暗号化アルゴリズムを指定
            .withMasterKeyUri("android-keystore://tink_master_key")      // Kotlin側と同じマスターキーの保存先を指定
            .build()
            .keysetHandle
            .getPrimitive(Aead::class.java)
    }

    // Base64 エンコードされた暗号文を平文に復号
    fun decrypt(ciphertext: String): String {
        val encrypted = Base64.decode(ciphertext, Base64.NO_WRAP)
        return String(aead.decrypt(encrypted, null), Charsets.UTF_8)
    }
}

import android.content.Context
import androidx.datastore.preferences.core.stringPreferencesKey
import androidx.datastore.preferences.preferencesDataStore
import kotlinx.coroutines.flow.Flow
import kotlinx.coroutines.flow.map

// Kotlin側と同じ DataStore ファイル名を指定
private val Context.dataStore by preferencesDataStore(name = "secure_prefs")

class SecureStorage(
    private val context: Context,
    private val crypto: TinkCryptoManager
) {
    companion object {
        // Kotlin側で保存時に使ったキー名と一致させる
        private val KEY_SECRET = stringPreferencesKey("secret")
    }

    // DataStore から暗号化された値を取得し、TinkCryptoManager で復号して返す
    fun get(): Flow<String?> = context.dataStore.data.map { prefs ->
        prefs[KEY_SECRET]?.let { crypto.decrypt(it) }
    }
}

class MainActivity : FlutterActivity() {
    override fun configureFlutterEngine(flutterEngine: FlutterEngine) {
        super.configureFlutterEngine(flutterEngine)

        val crypto = TinkCryptoManager(applicationContext)
        val storage = SecureStorage(applicationContext, crypto)

        // Flutter から Kotlin ネイティブの復号処理を呼び出せるよう MethodChannel を設定
        MethodChannel(flutterEngine.dartExecutor.binaryMessenger, "migration_channel")
            .setMethodCallHandler { call, result ->
                when (call.method) {
                    "getMigratedSecret" -> {
                        kotlinx.coroutines.MainScope().launch {
                            val secret = storage.get().first()
                            // 復号済みの平文を Flutter 側に返却
                            result.success(secret)
                        }
                    }
                    else -> result.notImplemented()
                }
            }
    }
}