ネイティブアプリのフラグ管理について（android,iOS）

Question

知りたいこと

利用規約に同意したかなどのフラグの管理方法　※DB(sqlite)は使用しない

・初めてスマホアプリの開発を行っているのですが、タイトルの通りフラグ管理の方法について、
調べてもわからない事があったので質問をしました。

簡単な条件は以下の通りになります

• LTEによる通信を行う端末と行わない端末が存在する（ネットに繋がらない状態でも使用ができる）
• DBは使用しない
• Flutterで開発を行う

自分で考えた方法

本体の内部ストレージにテキストファイルを作成しフラグ管理を行う

・例えば、terms_of_service.txtといったファイルを作成しその中に

is_agree=true

のような記述をするというやり方です。
フラグだけではなく、同意した日にちなども管理しなければならない可能性を考えるとjson形式で記述するのもありかもしれません。

このようなフラグ管理は正しいのか？（安全なのか）

・内部ストレージは基本的にユーザーが何らかの方法で覗くことが出来る場所だと認識しています。そうした場所にフラグ情報を置いてしまうと誤って削除されたり、改ざんされる危険は無いのかという疑問が残ります。
利用規約のフラグ程度であれば、誤って削除されたらもう一度ユーザーに同意させればよいだけですが、課金情報のフラグといった機密情報であれば大変なことになるのかな？と。

内部ストレージにはどの程度までの情報を持たせて良いのか、堅牢なフラグ管理を行いたい場合はやはりDBが必要になってくるのか、皆様の知識をお貸しいただければと思います。
よろしくお願いいたします。

Answer 1

フラグのローカル管理であれば、AndroidではSharedPreferences、iOSではUserDefaultsを利用するのが一般的かなあと思います。
FlutterではそれらをOS意識せず使えるプラグインが存在するため、以下を参考下さい。

https://qiita.com/yukiyamadajp/items/16ec45a7d5de947a93e3

基本的にローカル管理は、アプリを削除したり、アプリの情報を消すと一緒に消えるため、課金情報などはサーバなどに置くか、各ストアのAPIで確認する方が良いかと思います。

Answer 2

基本的な戦略としては、ローカルストレージには秘密のデータを格納しないことです。サーバー側に保管すべきですが、一時的なキャッシュとしてどうしても秘密のデータを置きたい場合は暗号化が必要です。

iOSであればキーチェーンAPI、AndroidであればKeystoreを利用できます。または何らかの規格に準拠する必要があれば、サードパーティの暗号化ライブラリを用いることもできます。

課金処理は既に確立された一般的な処理手順がありますので、詳細は「アプリ内課金」「レシートの検証」などのキーワードで検索することをおすすめします。