苹果发通谍拒绝“热更新”,中国程序猿“最受伤”

来源: 投稿
作者: 王练
2017-03-12

苹果软件改制一小步,程序猿迈向失业的一大步。

近日,苹果向所有开发者推送警告邮件,宣布未来将禁用 APP 内部的“动态分发”功能。并要求开发者在自家 APP 中删除 JSPatch 相关框架,否则 APP 将面临下架或禁止上架。

截止发稿,已有部分开发者新递交的APP受此影响被苹果审核部门拒绝。

这一动作,宣告着 APP Store 为“热更新”判了“死刑”,未来应用更新则将进入“原生”时代,用户需重新下载完整的新版数据包。

什么是“热更新”?

抛开复杂的技术语言,就是利用软件内的框架协议,允许软件从网络下载并运行调用可执行代码,对软件进行修改。

举个例子,就是大家平时打开《阴阳师》或者《王者荣耀》时,弹出的下载更新页面。▼▼▼

如果热更新被禁用,对于玩手游的上班族来说,不得不面临这样的情况:

在工作岗位上兢兢业业了一天,终于可以在公交地铁上玩上两把;

突然发现游戏有更新,需要下载完整的软件安装包;

然而由于 APP Store 的限制,大于100M的安装包只能在连接WiFi时下载;

满脸遗憾的你默默将程序关闭,叹了一声:还是算了吧,回家还得做饭看孩子呢。

然而更崩溃的,莫过于中国的“程序猿”们。

这次被禁的 JSPatch / wax/ rollout 热修复框架,由于代码命令简单,程序员的学习成本低,使用频次高,成为了许多国内iOS开发者非常热衷使用的一个框架。使用 JSPatch 的APP中,有很多是我们耳熟能详的▼▼▼

目前国内的开发环境,把不得自家APP早日上线盈利,难免会遇到一些bug或者一些产品经理“突发奇想”出来的需求。

如果使用“原生应用”重新打包,就面临着苹果平台的“二次审核”,即使这两年苹果加快了审核速度,但1-2天的审核周期(之前大约要7天),对于恨不得“周更”的国内APP来说,确实过于漫长。

由于“热修复”直接可以通过服务器推送并进行下载迭代,可以避过苹果“二次审核”,于是就成为了国内开发者们最爱用的一个框架。

可惜苹果一声令下,这些国内iOS开发者们,都要面临“回炉重造”,以适应新的审核制度。

为什么外国的开发者表示影响不大呢?

因为国外开发流程很好很规范,会做好充分的 codereview 和测试,上线后bug较少,往往很少需要进行热修复。频繁的更新迭代,不符合歪果仁眼中的“稳稳的幸福”。

当然,更重要的是歪果仁最常使用的 Google Play 也不允许使用“热修复”框架,支付宝、美团等应用都被举报然后直接下架过。

为什么苹果和谷歌禁用“热更新”的态度如此强硬,它究竟犯了什么错?

说到底,还是因为“热更新”从根本上破坏了官方应用分发平台“可控”与“安全”的底线。

在苹果的“开发者条例”中,明确规定了“所有执行代码都需要包含在App中,禁止下载代码到本地执行”。

显然JSPatch框架代码违反了这条规定。借助于这项技术,开发者可以避过官方应用商店的二次审核,许多国内开发者为了赶上架时间,钻了苹果审核的漏洞。

由于代码会在应用审核后改变功能,国内一些涉嫌违规的应用,往往是靠审核时关闭违规功能,审核后通过“热更新”代码来打开违规功能蒙混过关。

试想一下,本来你下的是一个消消乐的游戏,然而“热更新”后开屏给你推荐一些光屁股小姐姐的网站,俨然变成了个涉黄涉暴应用。

另一方面,JSPatch由于代码简单易上手,不仅方便了开发者,也方便了那些别有用心不法分子。

小编相信绝大开发者使用热更新只是为了“图方便”,不会添加恶意代码(最多暗改下极品爆率),但如果开发者没有做好热更新过程中传输的加密与校验,就很容易遭到第三方的“中间人”攻击。

早在2016年初,国际网络安全公司FireEyes就曾指出苹果APP Store内千余款应用使用JSPatch框架、存在严重的安全漏洞。▼▼▼

每当人们提到苹果APP Store,常以“封闭”“审核严格”著称,然而“热更新”无疑相当于为开发者和不法分子,在应用商店的层层审查中开了个“后门”。

破坏了苹果引以为傲的“可控性”与“安全性”,钻空子的开发者多了,苹果必然重拳出击,打击“热更新”框架。

国外应用商店禁用“热更新”,但国内的应用市场可就没有这么幸运了。

由于国内应用市场多基于安卓的开源应用生态,任何开发者都可以轻易地将安卓应用的.apk文件重新打包封装。不少应用市场为了引流,常常在软件内部植入恶意代码,用来劫持导航站、电商网站、广告联盟等各种流量,并伪装成联盟流量骗取百度分成收入。然后通过篡改软件版本号引导用户更新,形成国内安卓系统特有的“更了又更”的情况。

而有些开法者,则将多个软件打包成为一个应用,审查时,以其中合法的一个应用报审,而其他不合规的应用就借此暗渡陈仓了。

这也就解释了为什么往往国内第三方安卓应用商店下载来的应用,广告总是比其他的多,抑或是点开一个安装包,却装上了一个全家桶。

就更不要提有些开发者篡改浏览器参数,进行流量劫持,例如你在官网下载某个APP,但最终浏览器却给你下载了某度、某米、某讯的商城版本。

原生安装包况且如此,就更难想象如果开发者可以随时操纵APP下载执行程序,对系统安全留下的更多隐患了。

作为软件平台的管理者,不应该因为软件捆绑的应用与广告的“利益”蒙蔽了双眼。毕竟就像银行取钱,麻烦点用户依然会一边抱怨一边取钱,但如果真的因为账号安全蒙受损失,那么谁也不敢再来贵平台存钱了。

来源:网易新闻-搞机哥

展开阅读全文
20 收藏
分享
加载中
精彩评论
小程序算么
2017-03-12 09:03
8
举报

引用来自“游客”的评论

没有热更新,开发的压力反而会降低,三天两头的运营更新和新特性上线最让人恼火!
说得好!
2017-03-12 12:04
6
举报
常常将软件内部植入恶意代码

应该改为:常常在软件内部植入恶意代码
2017-03-13 12:27
2
举报
最新评论 (44)

引用来自“starstroll”的评论

邮件原文贴来看看?是不是小便理解有误?我觉得这是不可能实施的,因为热更新和内容包难以界定,如:应用皮肤、离线内容(百度离线地图类)、插件……,如果界定不了如何实施?如果把硬把合规的App下架了,损失的是Apple自己。
更新包,只有资源,不需要执行代码的。还有jspatch呀,一些热更新,很容易识别的!😓
2017-06-07 12:10
0
回复
举报

引用来自“游客”的评论

没有热更新,开发的压力反而会降低,三天两头的运营更新和新特性上线最让人恼火!
杭州网友 说的不错
2017-03-30 10:00
0
回复
举报
预计很多游戏厂商因此倒闭
2017-03-15 08:37
0
回复
举报

引用来自“FPE”的评论

所有游戏你有本事每天出个活动就出个新版本试试,这样安卓永远是首发,肾果永远在拖后腿😃

引用来自“Gateslu”的评论

哦,这种垃圾升级,我才不要,最烦这种频繁的升级,就不能把游戏好好的搞好再上线?一堆bug还来坑玩家

引用来自“FPE”的评论

mdzz,更新和修bug都分不清,单机就不用更新
你这人真的是奇怪,骂人很过瘾吗?现在很多更新包只提一句,优化游戏体验,你又懂个球球?还有单机游戏谁说不用更新,app store里面的单机游戏更新被你吃了?你这种人简直就是污染osc的评论
2017-03-14 12:04
0
回复
举报

引用来自“shitalpig”的评论

微信小程序 明显是js的热更新

引用来自“韩庚庚”的评论

@shitalpig 我也觉得是不是苹果在抵制微信呢
腾讯应该把苹果收购了,或则跟facebook一起联合收购
2017-03-13 17:17
0
回复
举报
FPE

引用来自“FPE”的评论

所有游戏你有本事每天出个活动就出个新版本试试,这样安卓永远是首发,肾果永远在拖后腿😃

引用来自“Gateslu”的评论

哦,这种垃圾升级,我才不要,最烦这种频繁的升级,就不能把游戏好好的搞好再上线?一堆bug还来坑玩家
mdzz,更新和修bug都分不清,单机就不用更新
2017-03-13 12:40
0
回复
举报
更多评论
56 评论
20 收藏
分享
返回顶部
顶部