mPaas上線應用檢測

簡介：mPaas上線應用檢測

1. 背景

隨着愈來愈多的金融行業基於mPaas[1]搭建並上線新的App，App的上線質量也成爲各個客戶關注的重點。上線前檢測哪些項目，如何檢測，檢測數據指標包括哪些成爲咱們思考的主要方向。藉着上次去XX農信客戶去作線上功能檢測，加上以前多個mPaas歷史項目踩過的坑，將App上線前mPaas相關檢測內容整理沉澱以下。

2. 檢測方向

2.1 安全性

2.1.1 RPC是否開啓國密加密

對應金融性質的App來講，數據通訊安全相當重要，mPaas已經支持 ECC、RSA 和國密（SM2）三種方式，
在金融行業App內建議開啓加密配置爲SM2國密加密，知足行業監管要求。配置能夠參考文檔[2]。

2.1.2 離線包是否開啓驗籤

圖1

爲了保證下發到本地離線包的安全性，mPaas提供了離線包驗籤機制，保證了離線包的安全性。總體示意圖如上所示，用戶設置流程以下:

1. 開發者配置好一對公私鑰，私鑰放在服務端用於對離線包簽名，公鑰放在客戶端，用於對簽名對驗證。
2. 在離線包發佈平臺，若是配置了簽名私鑰，平臺下發的amr文件就會帶上簽名信息（經過私鑰對離線包的hash值加密後獲得的密文）。
3. 客戶端在拿到amr包並解壓後，客戶端會使用在項目中預置的公鑰進行簽名的驗證（解密上一步的密文獲得一個hash值，同時本地計算離線包的hash值，判斷二者是否相同），若是相同則經過驗證。
4. 若是簽名校驗失敗，則刪除離線包走fallback地址。

經過離線包的驗籤機制，能夠達到如下的目的：

1. 保證了離線包的內容完整，解決解壓異常，讀取異常下的正常顯示。
2. 保證了離線包的來源正確，不被本地惡意篡改。

2.1.3 userId信息是否設置正確

由於userId會被後續用到不少地方，好比推送，白名單。因此通常建議選擇服務端的userId字段做爲存儲字段，方便後續和服務端作userId字段同步，不建議存儲我的手機號或者身份證等我的信息做爲userId。

2.1.4 埋點信息是否包含敏感信息，好比交易單號

考慮到埋點的量級很大，因此mPaas的埋點默認本地是沒有作數據加密的，因此埋點信息不建議包含敏感字段，防止因爲埋點致使信息泄漏。敏感字段建議走RPC的數據通道上報，保證數據安全。若是有埋點埋敏感字段的訴求，須要主動開啓埋點的本地加密配置。

2.1.5 隱私權限配置

因爲如今監管機構對隱私權限管控比較嚴格，mPaas針對權限管控作了對應的接入方案。須要須要確保上線前隱私權限相關配置已經正常接入。

2.2 穩定性

2.2.1 驗證在Android4.X版本的是否能夠正常使用

mPaas最低支持Android4.3版本以上，因此發佈前須要驗證下低版本Android設備的可用性，遇到比較多的是在Android4.X設備上因爲多dex加載致使的類找不到致使的安裝閃退問題。

2.2.2 iOS符號表是否正常上傳

發佈前須要確保iOS的符號表已經上傳到mPaas後臺，方便後臺反解閃退信息。

2.2.3 熱修復模塊是否接入而且驗證經過

發佈前須要確保熱修復模塊的正常接入以及驗證經過，保證上線有針對Native模塊的熱修復能力，保證異常場景下的修復能力。

2.2.4 離線包Fallback域名確認

確認Fallback域名是不是外網可訪問的地址，遇到過發佈後下發的仍是內網地址的case。

2.2.5 離線包模塊接入CDN

上線前作好容量評估，默認mPaas的離線包是存儲在OSS內的，可是通常建議針對離線包模塊接入CDN，經過CDN的緩存功能解決由於離線包下載致使帶寬打滿的風險，同時相對於OSS存儲來講，CDN的費用更低。接入示意圖以下：

圖2

2.2.6 RPC核心鏈路接口壓測

上線前須要對App核心鏈路的RPC接口作性能壓測，獲取接口性能瓶頸，能夠用作後續的限流值的設定參考。同時須要針對RPC限流場景作演練，防止上線限流後客戶端出現各類異常。

2.2.7 發佈更新功能可用

上線前須要驗證發佈apk功能可用，包括髮布更新的強制更新功能，保證在極端場景下，須要強制升級使用。

2.3 性能體驗

2.3.1 離線包離線功能是否正常生效

確保離線包的離線功能正常使用，防止因爲離線包各類配置問題致使離線功能不生效。

2.3.2 UC內核是否正常接入

確保UC內核正確配置接入，主要解決系統Webview下的各類兼容性問題。同時UC提供了很好的穩定性，比系統webview更穩定。

2.3.3 核心鏈路離線包是否預製

在發佈前，須要預製核心鏈路離線包，保證核心鏈路在極端異常場景下仍然能夠打開。

參考文檔

[1]移動開發平臺 mPaaS：https://www.aliyun.com/product/mobilepaas/mpaas
[2]數據加密：https://help.aliyun.com/document\_detail/72752.html?spm=a2c4g.11186623.6.732.6bb85ed3LyuYtO

咱們是阿里雲智能全球技術服務-SRE團隊，咱們致力成爲一個以技術爲基礎、面向服務、保障業務系統高可用的工程師團隊；提供專業、體系化的SRE服務，幫助廣大客戶更好地使用雲、基於雲構建更加穩定可靠的業務系統，提高業務穩定性。咱們指望可以分享更多幫助企業客戶上雲、用好雲，讓客戶雲上業務運行更加穩定可靠的技術，您可用釘釘掃描下方二維碼，加入阿里雲SRE技術學院釘釘圈子，和更多雲上人交流關於雲平臺的那些事。

本文內容由阿里雲實名註冊用戶自發貢獻，版權歸原做者全部，阿里雲開發者社區不擁有其著做權，亦不承擔相應法律責任。具體規則請查看《阿里雲開發者社區用戶服務協議》和《阿里雲開發者社區知識產權保護指引》。若是您發現本社區中有涉嫌抄襲的內容，填寫侵權投訴表單進行舉報，一經查實，本社區將馬上刪除涉嫌侵權內容。