Hola, Amigos! На связи Павел Гершевич, Mobile Team Lead в Amiga. При настройке диплинков в наше приложение иногда требуется сделать так, чтобы только определенные ссылки вели в приложение и наоборот. В этой небольшой серии постов мы разберем, как поступать в таких ситуациях.

Начнем со случаев, когда переход должен быть только по определенным путям.

Как и для любых других диплинков, настройка будет внутри проекта для Android и в файле apple-app-site-association для iOS.

Для Android нужно открыть файл AndroidManifest.xml вашего проекта и там добавить код (или изменить его, если вы уже настраивали диплинки до этого):

<intent-filter android:autoVerify=”true” tools:targetApi=”m”>
  <action android:name=”android.intent.action.VIEW” />
  <category android:name=”android.intent.category.DEFAULT />
  <category android:name=”android.intent.category.BROWSABLE />

  <data
    android:scheme=”https”
    android:host=”example.com”
    android:pathPrefix=”/sample”
  />
</intent-filter>

Такой код позволит нам открывать только страницы, чей URL начинается с https://example.com/sample.

Используйте path, чтобы указать только 1 ссылку:

<data android:path="/sample" />

Используйте pathSuffix, если нужно указать только окончание URL:

<data android:pathSuffix="ample" />

Если вы только настраиваете диплинки в ваше приложение, то не забудьте подготовить и загрузить на ваш сайт файл assetlinks.json. Как он выглядит и создается рассказано в этой статье, которую мы переводили для вас.

Давайте сделаем то же самое и для iOS. Откроем или создадим файл apple-app-site-association. Тут нас интересует массив components внутри объекта details. Существует несколько вариантов реализации:

Если нужно сделать переход именно на эту страницу:

{
  “/”: “/sample”,
  “comment”: “Откроет только https://example.com/sample”
}

Если можно позволить переход на любого потомка этой страницы:

{
  “/”: “/sample/*”,
  “comment”: “Откроет также https://example.com/sample/first”
}

И если в пути содержится часть, но мы не знаем ее точного места:

{
  “#”: “ample”,
  “comment”: “Откроет также https://example.com/mySample”
}

После этого нужно загрузить этот файл на сервер и подождать, пока AASA-Bot заберет его на CDN компании Apple. Обычно это занимает до суток.

Hola, Amigos! Продолжаем разговор о безопасности приложений на Flutter.

Даже при корректной аутентификации приложение остается уязвимым, если сетевой слой и серверная валидация реализованы неправильно. В этой части поговорим о защите сетевых запросов, доверии к данным и проверке OTP.

1. SSL pinning — обязательное требование

Без pinning HTTPS не спасает от атаки MITM (Man In The Middle), когда злоумышленники перехватывают трафик между приложением и сервером, а потом читают или подменяют запросы через прокси или wi-fi:

final context = SecurityContext(withTrustedRoots: false);
context.setTrustedCertificatesBytes(certBytes);

final httpClient = HttpClient(context: context);

final dio = Dio()
  ..httpClientAdapter = IOHttpClientAdapter(
    createHttpClient: () => httpClient,
  );

Это блокирует:

- proxy
- fake Wi-Fi
- подмену сертификатов

2. OTP всегда проверяется на сервере

Проверка OTP на клиенте — критическая уязвимость:

if (enteredOtp == "123456") success();

Только сервер:

await api.verifyOtp(
  mobile: mobile,
  otp: enteredOtp,
);

3. Клиентская валидация — не финальная. Данные всегда проверяются на сервере:

bool isValidAmount(String value) {
  final amount = double.tryParse(value);
  return amount != null && amount > 0 && amount < 100000;
}

Эти меры закрывают большую часть рисков, но сами по себе они не решают все. Даже при защищенном трафике и корректной логике на бэке приложение остается уязвимым на уровне устройства и интерфейса.

В следующей части разберем защиту UI, работу с сессиями и ограничения на уровне устройства.

Hola, Amigos! Даже идеально защищенный backend не поможет, если приложение уязвимо на уровне устройства. В финальной части посмотрим на безопасность со стороны устройства и пользовательского интерфейса.

1. Запрещайте скриншоты на чувствительных экранах

Некоторые чувствительные данные не должны попадать в скриншоты:

@override
void initState() {
  super.initState();
  if (Platform.isAndroid) {
    FlutterWindowManager.addFlags(
      FlutterWindowManager.FLAG_SECURE,
    );
  }
}

2. Используйте биометрию

Биометрия нужна не только для логина.

final auth = LocalAuthentication();

await auth.authenticate(
  localizedReason: "Verify to access your bank account",
  options: const AuthenticationOptions(
    biometricOnly: true,
  ),
);

Подходит для различных сценариев:

- входа
- платежей
- доступа к профилю

3. Автоматический логаут и контроль сессии

class SessionManager {
  Timer? _timer;

  void start(void Function() onExpire) {
    _timer?.cancel();
    _timer = Timer(
      const Duration(minutes: 5),
      onExpire,
    );
  }

  void refresh() {
    _timer?.cancel();
  }
}

Выход при:

- уходе в фон
- бездействии
- истечении токена

4. Root / Jailbreak — блокировать

final isRooted = await RootChecker.isRooted();
if (isRooted) {
  exit(0);
}

Не забывайте про использование в нескольких местах и рандомных триггерах, чтобы труднее было подвергнуть приложение реверс-инжинирингу.

5. Код и логи в продакшене

flutter build apk --obfuscate --split-debug-info=./symbols
flutter build ios --obfuscate

if (kDebugMode) {
  print("Token: $token");
}

Надеюсь, советы были полезны и помогут избежать типовых ошибок при разработке приложений на Flutter. Если тема откликнулась — пишите в комментарии!