AppLinks

About

Хранить секреты на клиенте - плохо. Хорошей практикой является передача их с бэкенд-сервера. Болеее того, использование ссылок на приложение гарантирует, что только ваше приложение сможет обрабатывать любой Redirect URI (в OAuth) или любой URL, в целом. Это называется созданием Universal Link with Site Association

Papers

обход этого механизма? https://medium.com/swlh/android-hacked-any-link-could-be-linked-to-your-app-by-default-4b49e3692949

Android

AppLinks - это безопасный способ (безопасная версия DeepLinks) передать критичную информацию (например секрет для аутентификации) приложению через сторонний сервис.

Подробно: https://habr.com/ru/company/jugru/blog/352914/

Для Android, чтобы использовать DeepLinks как AppLinks, надо установить во все Web URL intent filters атрибут android:autoVerify="true".

Пример:

<activity ...>

    <intent-filter android:autoVerify="true">
        <action android:name="android.intent.action.VIEW" />
        <category android:name="android.intent.category.DEFAULT" />
        <category android:name="android.intent.category.BROWSABLE" />
        <data android:scheme="http" android:host="www.example.com" />
        <data android:scheme="https" />
    </intent-filter>

</activity>

Более того, у вас не может быть никакой настраиваемой схемы в вашем intent filter, а только http или https! И последнее, но не менее важное: вы должны включить файл json с именем assetlinks.json. На стороне web-сервера, который определен в intent filter. Например: https://example.com/.well-known/assetlinks.json

Пример такого файла:

[{
    "relation": ["delegate_permission/common.handle_all_urls"],
    "target": {
   	 "namespace": "android_app",
   	 "package_name": "com.example.puppies.app",
   	 "sha256_cert_fingerprints": ["14:6D:E9:83:C5:73:06:50:D8:EE:B9:95:2F:34:FC:64:16:A0:83:42:E6:1D:BE:A8:8A:04:96:B2:3F:CF:44:E5"]
    }
},
  {
  "relation": ["delegate_permission/common.handle_all_urls"],
  "target": {
    "namespace": "android_app",
    "package_name": "com.example.monkeys.app",
    "sha256_cert_fingerprints":
    ["14:6D:E9:83:C5:73:06:50:D8:EE:B9:95:2F:34:FC:64:16:A0:83:42:E6:1D:BE:A8:8A:04:96:B2:3F:CF:44:E5"]
  }]

package_name должен совпадать с app_id вашего приложения, а sha256_ccert_fingerprints должен совпадать с одним из сертификатов подписи вашего приложения.

Когда пользователь кликнет по AppLink, Android сходит на ваш сервер, заберет assetlinks.json файл и проверит, что app_id и подпись совпадают с вашим приложением.

Подробно про проверку AppLinks в Android: https://developer.android.com/training/app-links/verify-site-associations#request-verify

iOS

Пример ссылки для iOS: https://some.app.link/.well-known/apple-app-site-association

Как это встроить на iOS: https://developer.apple.com/library/archive/documentation/General/Conceptual/AppSearch/UniversalLinks.html