​​Вход в приложение
#security #android

Почти в любом приложении, которое хоть как-то связано с хранением и работой с приватными данными, имеется аутентификация: или вход по паролю, или вход по биометрии + паролю.

И кажется, что задача супер простая: добавь сверху экран, который будет появляться при старте приложения, сохрани пароль на устройстве и сверяй с тем, что ввёл пользователь. Но на практике — большинство приложений в большей или меньшей степени реализуют вход некорректно: неправильно хранят пароль, не используют CryptoObject , дают возможность обойти экран входа и т.д.

Я поискал за вас и даю сразу несколько статей и уроков, которые с огромной вероятностью помогут вам корректно реализовать вход в приложение:

1️⃣ Тут автор рассказывает про пример некорректной авторизации в приложение и про свойства CryptoObject, setUserAuthenticationRequired и о том, как эксплуатировать эти хаки.

2️⃣ Отличное видео, где по шагам описывается процесс создания биометрической авторизации в приложение: разницу между различными классами для авторизации, как затащить alpha-версию библиотеки для входа (удивился, что она до сих пор в alpha) и наконец-то сделать корректный вход по отпечатку.

3️⃣ Библиотека PINkman, которая позволяет добавить вход по пину в приложение: можете не тащить всю либу в проект, но внутри — много крутых идей по корректному хранению пароля в системе. А можете и затащить, если не хочется разбираться.

4️⃣ Статья, где автор описывает ещё одно хитрое свойство — setUserAuthenticationValidityDurationSeconds, которое также может быть использовано как уязвимость для входа.

5️⃣ Ну и напоследок — больше информации про составляющие качественной криптографии в Android: KeyStore, MasterKeys, Blocking, Padding и другие страшные слова.

Конечно, идеальной защиты не существует и от "паяльника" в руках злоумышленника врядли поможет какой-то из методов защиты. Но для всех остальных случаев ваша защита способна защитить приложение и приватные данные пользователя.

​​Автоматизация публикации в магазины приложений
#android

Как-то на канале было рассказано о теме, связанной с автоматизацией процессов публикации приложений.
На глаза попалась статья, которая дополняет тот пост и делает автоматизацию ещё более полной.

В статье рассказывается про то, как сделать полной загрузку своих билдов в Google Play и AppGallery. Описывается другой плагин, который делает загрузку в AppGallery более полной. Кажется, что отличное решение.

Лучше может быть только единое решение с большинством магазинов приложений, вдруг кто-то ищет идею для написания CI-таски 😉

​​Android Studio Hedgehog
#android

Тут пару дней назад вышла canary-версия новой Android Studio — Hedgehog 🦔. Если вдруг тут есть любители попробовать свежие IDE самостоятельно, но можете устанавливать, а для всех остальных — опишу основные новинки.

1️⃣ Визард для Baseline Profiles — любопытная фича, которая позволяет довольно сильно уменьшить время запуска приложения, и теперь можно автоматически генерировать профили для новых модулей. Что ж, будем изучать.

2️⃣ Safe Mode для IDE — возможно полезная фича для тех, кто любит экспериментировать с небезопасными плагинами и конфигурациями. Можно запускать IDE в safe mode и откатить настройки, если что-то пошло не так.

3️⃣ Embedded Layout Inspector — фича, которая позволяет проанализировать экран прямо на вашем устройстве, показать дерево компонентов и сделать процесс дебага View ещё удобнее.

4️⃣ JVM 17 bytecode — теперь у последнего плагина Gradle таргет на JVM 17, так что обновляем свои sourceCompatibility и targetCompatibility.

​​InsetsX
#compose

Небольшая библиотека, которая позволяет вам шустро настраивать инсеты при использовании Compose Multiplatform для Android и iOS.

Выглядит очень круто, и работает по аналогии со стандартным плагином для Android (отличается только package-name).
Ну и помните, что Compose Multiplatform для iOS пока сырой, так что тащите осторожнее.

​​Android Performance — I/O 2023
#android

Думаю все в курсе, недавно прошедшего Google I/O, где было представлено много всего интересного для Android. Однако сегодня я хочу рассказать про новые штуки для улучшения производительности приложения.

1️⃣ Обновления Baseline Profiles — они помогают заметно улучшить время старта приложения, избегая JIT-компиляции. Ребята улучшили процесс создания профилей, добавили шаблон в Android Studio, а также Baseline Profile Gradle plugin. Чтобы лучше разобраться с фичёй — вот вам codelab по теме.

2️⃣ Startup Profiles — вдогонку к предыдущему пункту фича, которая позволяет описать код, который пойдёт в primary dex file вашего приложения, за счёт чего вы уменьшите время его старта.

3️⃣ Android Studio Power Profiler будет особо полезен для приложений, которые используют камеру, GPS и другие датчики. Можно мониторить потребление ими заряда телефона, что поможет в отладке.

Подробнее о всех нововведениях можно почитать тут. 🤓

​​Coroutines — неочевидные баги
#kotlin #android

Прочитал хорошую статью с не самыми очевидными багами при работе с Coroutines, и спешу поделиться ей с вами.

Тут рассказывается:

👉 что будет если вызвать tryEmit() при работе с SharedFlow без дополнительной настройки replay и extraBufferCapacity;
👉 что будет с Coroutines, которые вызываются в одном repeatOnLifecycle;
👉 неприятный баг при работе с suspendCancellableCoroutine.

А какие неочевидные баги встречали вы?

​​Профайлинг gradle
#gradle

Недавно обновлял версию Gradle до самой последней, и случайно наткнулся на инструмент, которого раньше не замечал, но который может сильно помочь в настройке Gradle.

Суть в профайлинге различных конфигураций и настроек: вы указываете список тасок, которые хотите протестировать, настройки для них, сохраняете сценарии — и запускаете на своей машине или CI.

В итоге за парочку прогонов сможете выбрать оптимальную конфигурацию.

​​Network Inspector в Flamingo
#android

В Android Studio Flamingo появилась полезнейшая фича — Network Inspector.
Она сильно упрощает дебаг запросов к приложению: ведь можно менять формат запроса, Body, Headers, Response... в целом, почти всё, для чего вам нужен был Charles.

Небольшая статья с демо как использовать эту фичу для себя.

​​Обзор уязвимостей Positive Hack Days
#security

Отдельное место у меня занимают статьи, которые рассказывают о лучших практиках безопасности Android-приложений: ведь даже если приложение будет с идеальным UI-UX, но будет иметь дыры в безопасности, то вся работа может свестись на нет. 🥴

Вот вам отличный список-обзор уязвимостей с недавнего Positive Hack Days: рекомендую сделать овервью своего приложения, вдруг найдёте что-то подобное.

Тут и exported=true для WebViewActivity, и проблемы в дебаг-панели, и вход без PIN-кода в приложение через виджет... в общем, есть на что обратить внимание. 👌

Давайте устроим пятничный холивар в комментах:

Если бы вы сейчас писали приложение с нуля, то какой бы стек выбрали и почему?

- без ограничений по библиотекам и технологиям;
- можно выбрать или нативную, или кроссплатформенную разработку;
- если это нативная разработка, то под iOS будет отдельная команда; 😌

Оптимизации Compose
#compose

Классная статья, в которой рассказывается о полезных оптимизациях для Compose.
Вполне возможно, что эти рекомендации помогут и вашему UI работать быстрее.

Тут и про оптимизацию пропусков в Composable-функциях, и про то, что делать при долгих вычислениях при рекомпозиции, а также куча ссылок о том, как писать свои Compose-layouts. Ну и для каждого кейса есть свой пример с кодом. 👌

Ссылка на статью тут.

Android Studio Templates
#android

Полезная статья, где описаны базовые шаблоны для работы в Android Studio, а ещё — есть целый набор кастомных, но полезных шаблонов. Сам я редко использую эту фичу, хотя думаю стоит не забывать ей пользоваться, ведь это экономит время на бойлерплейт.

Например:

👉 void, fun0, fun1, fun2 — создаёт функцию с необходимым нам набором параметров;

👉 ifn / inn — то же самое, что и if ( … == null) / if ( … != null);

👉 comp — создаёт Compose-функцию;

Авто предлагает создать ещё целый ряд шаблонов: HiltViewModel, MutableStateFlow и StateFlow, Binds в Hilt... в общем, всё это здорово сэкономит наше свами время.

Улучшение времени запуска приложения
#android

Очень важно время от времени "разгребать" технический долг в своём проекте и делать технические улучшения, которые приведут к более качественной работе приложения.
Если у вас кончились идеи для технических спринтов (вдруг такое произошло) или вы не задумывались о времени запуска приложения — то вот вам несколько ссылок о том, как сделать запуск вашего приложения быстрее.

Начать стоит с того, чтобы посмотреть на инструменты, которые позволят проанализировать текущую ситуацию. Одним из них является Macrobenchmark, который даёт весьма полезные данные о том, как работает приложение. Ещё можно использовать Perfetto для визуализации результатов и встроить бенчмарк в процесс CI.

Ну и для мотивации — две статьи с опытом применения целого ряда инструментов, чтобы улучшить время запуска.
Тут ребята из Dodo описывают процесс повышения скорости запуска одного из своих приложений на 20%, а тут похожий опыт компании Mercado Libre (довольно крупный стартап Латинской Америки).