ios - 适用于企业应用程序的 Apple App 传输安全 (ATS)

Question

我正在开发企业应用程序。到目前为止，一切都在模拟器中运行良好，但当我将它部署到物理设备上时，它崩溃了。发生崩溃是因为应用程序通过“HTTP”而不是“HTTPS”连接到 Web 服务。

我在 info.plist 文件中添加了 ATS 异常。我需要知道企业应用程序将在 2016 年(Apple 的截止日期)之后继续使用 HTTP 工作吗？

应用程序将托管在我们自己的服务器上，苹果不审查企业应用程序。

更新 1我只需要知道企业应用程序是否会在 2016 年之后继续使用此 ATS 异常(exception)情况？

    <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>CFBundleDisplayName</key>
    <string>xxxxxxxx</string>
    <key>CFBundleIdentifier</key>
    <string>com.xxxxxxx.xxx</string>
    <key>CFBundleShortVersionString</key>
    <string>1.0</string>
    <key>CFBundleVersion</key>
    <string>1.009</string>
    <key>LSRequiresIPhoneOS</key>
    <true/>
    <key>MinimumOSVersion</key>
    <string>9.0</string>
    <key>UIDeviceFamily</key>
    <array>
        <integer>2</integer>
    </array>
    <key>UILaunchStoryboardName</key>
    <string>LaunchScreen</string>
    <key>UIMainStoryboardFile</key>
    <string>Main</string>
    <key>UIRequiredDeviceCapabilities</key>
    <array>
        <string>armv7</string>
    </array>
    <key>UISupportedInterfaceOrientations~ipad</key>
    <array>
        <string>UIInterfaceOrientationLandscapeLeft</string>
        <string>UIInterfaceOrientationLandscapeRight</string>
    </array>
    <key>UIMainStoryboardFile~ipad</key>
    <string>Main</string>
    <key>UIAppFonts</key>
    <array>
        <string>Fonts/Montserrat-Black.otf</string>
        <string>Fonts/Montserrat-Bold.otf</string>
        <string>Fonts/Montserrat-ExtraBold.otf</string>
        <string>Fonts/Montserrat-Regular.otf</string>
    </array>

  <key>NSAppTransportSecurity</key>
  <dict>
    <key>NSExceptionDomains</key>
    <dict>
      <key>http://xxxxxxx.xxxxx.xxx</key>
      <dict>
        <key>NSExceptionMinimumTLSVersion</key>
        <string>TLSv1.0</string>
        <key>NSExceptionRequiresForwardSecrecy</key>
        <false/>
        <key>NSExceptionAllowsInsecureHTTPLoads</key>
        <true/>
        <key>NSIncludesSubdomains</key>
        <true/>
      </dict>
    </dict>
  </dict>

</dict>

Answer 1

从 2017 年开始，任何 Apple App Store 提交仍然可以请求 App Transport Security (ATS) 异常(exception)，Apple 将对其进行审核。您将需要高度限制您的异常(exception)列表，并且不允许一揽子任意 http 加载。审稿人仍然可以拒绝您的提交并要求提供更多信息。

即通过非安全通道请求美国政府 NOAA 图像的应用程序可能 被允许，因为 NOAA 目前不支持这些天气雷达图像的 HTTPS/SSL……再次，向上给 Apple 审阅者...

WKWebView, UIWebView, WebView:

NSAllowsArbitraryLoadsInWebContent lets you have a strict ATS dictionary but still load arbitrary content in a web view (WKWebView, UIWebView, WebView)

非安全本地网络:

NSAllowsLocalNetworking allows loading of local resources without disabling ATS for the rest of your app

已加密的媒体内容:

NSAllowsArbitraryLoadsInMedia disables all ATS restrictions for media that your app loads using the AV Foundation framework. Employ this key only for loading media that are already encrypted, such as files protected by FairPlay or by secure HLS, and that do not contain personalized information.

企业应用:

这些不会得到 Apple 的审查，因此允许禁用 ATS，直到 future 可能的 iOS 版本禁止非安全流量，但这远非最佳做法

• 以非安全方式访问企业数据？

如果您的企业应用需要基于本地网络的非安全资源，请改用新的 NSAllowsLocalNetworking 异常。

如果您的企业应用需要通过公共(public)互联网获取的非安全企业资源，您可能会遇到超出 iOS 应用传输安全问题范围的安全问题。