Entitlements في تطوير iOS: ما هي، أنواعها وكيفية تكوينها

ما هي Entitlements؟

Entitlements (تُرجمت من الإنجليزية كـ «حقوق») هي أزواج مفتاح-قيمة مُدرجة في توقيع كود التطبيق أثناء مرحلة البناء وتحدد إمكانيات وبيانات النظام التي يمكن للتطبيق الوصول إليها. تم دمج Entitlements في نموذج أمان Apple منذ إطلاق iOS SDK وهي إلزامية لجميع التطبيقات الموزعة عبر App Store.

يختلف مفهوم Entitlements عن الأذونات التقليدية في Android. بينما تُطلب أذونات Android من المستخدم في لحظة أول استخدام لميزة، يتم التحقق من Entitlements في iOS بواسطة النظام عند بدء تشغيل التطبيق بناءً على التوقيع الرقمي. لا يمكن للمستخدم إلغاء أو تغيير entitlement — هذا الحق يُمنح للمطور عبر App Store Connect ويُدمج في ملف التزويد.

كل entitlement له غرض وتنسيق محددان بدقة. على سبيل المثال، com.apple.security.application-groups يسمح بالوصول إلى حاوية مشتركة لمجموعة من تطبيقات نفس المطور، بينما aps-environment يفعل دعم الإشعارات الفورية. تراجع Apple طلبات entitlements يدويًا أثناء عملية مراجعة التطبيق، مما يمنع إساءة استخدام الحقوق.

أنواع Entitlements في iOS

تُصنف Entitlements حسب الغرض الوظيفي إلى عدة فئات. خدمات النظام — iCloud، الإشعارات الفورية، Siri. الأمان والبيانات — مجموعات الوصول إلى Keychain، مجموعات التطبيقات، حماية البيانات. الشبكة والاتصال — Multipath TCP، VPN، تكوين نقطة الاتصال. إمكانيات الأجهزة — الكاميرا، الميكروفون، Bluetooth (عبر capabilities ذات الصلة).

Capabilities و Entitlements الخدمية

يقوم Xcode بتجميع entitlements ذات الصلة في Capabilities — مفاتيح تبديل عالية المستوى في علامة التبويب Signing & Capabilities. يؤدي تمكين Capability إلى إضافة entitlements الضرورية تلقائيًا إلى ملف .entitlements. على سبيل المثال، تمكين Capability الإشعارات الفورية يضيف entitlement aps-environment بقيمة development أو production، بينما تمكين iCloud يضيف مجموعة من entitlements لـ CloudKit وتخزين Key-Value.

تتطلب بعض capabilities تكوينًا إضافيًا على بوابة Apple Developer. على سبيل المثال، App Groups يتطلب تسجيل معرف المجموعة على البوابة، وبعد ذلك يصبح متاحًا للاختيار في Xcode. للإشعارات الفورية، يجب إنشاء مفتاح أو شهادة APNs. بدون هذه الخطوات الأولية، لن يعمل entitlement حتى مع وجود ملف .entitlements صحيح.

مجموعات التطبيقات والوصول إلى Keychain

يسمح entitlement com.apple.security.application-groups لتطبيقات متعددة لنفس المطور بمشاركة حاوية مشتركة على نظام الملفات. يُستخدم لمشاركة البيانات بين التطبيق الرئيسي والإضافات (Widget، Watch App، Share Extension). يمكن لجميع التطبيقات في نفس المجموعة قراءة وكتابة الملفات في الدليل المشترك /Library/Group Containers/.

مجموعات الوصول إلى Keychain (مفتاح keychain-access-groups) هو entitlement مهم آخر يسمح للتطبيقات من نفس المجموعة بمشاركة الوصول إلى عناصر Keychain. هذا أمر بالغ الأهمية لتنفيذ تسجيل الدخول الموحد: يسجل المستخدم الدخول في تطبيق واحد ويحصل تلقائيًا على الوصول إلى نفس الحساب في تطبيق آخر دون إعادة إدخال كلمة المرور.

كيفية تكوين Entitlements

يتم تكوين Entitlements في Xcode في علامة التبويب Signing & Capabilities في إعدادات الهدف. يختار المطور Capabilities المطلوبة من القائمة، ويقوم Xcode تلقائيًا بإنشاء أو تحديث ملف .entitlements. يتم تخزين هذا الملف في المشروع بتنسيق XML بهيكل plist ويحتوي على جميع مفاتيح entitlements لهذا الهدف.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
  "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>com.apple.security.application-groups</key>
    <array>
        <string>group.com.example.shared</string>
    </array>
    <key>aps-environment</key>
    <string>development</string>
    <key>keychain-access-groups</key>
    <array>
        <string>$(AppIdentifierPrefix)com.example.keychain</string>
    </array>
</dict>
</plist>

عند إنشاء ملف entitlement يدويًا، من المهم اتباع تنسيق المفاتيح والبادئات. تستخدم entitlements Apple نمط النطاق العكسي (com.apple.*). كما أن entitlements المخصصة لأغراضك الخاصة ممكنة، ولكن يجب تسجيلها على بوابة المطور. يوفر Xcode الإكمال التلقائي لجميع مفاتيح entitlements القياسية.

لتصحيح أخطاء Entitlements، استخدم الأمر codesign في terminal لنظام macOS. الأمر codesign -d --entitlements :- <مسار_التطبيق> يعرض جميع entitlements التي تم توقيع التطبيق بها. هذا مفيد لتشخيص المشكلات: إذا كان entitlement مفقودًا من المخرجات، فلن يحصل التطبيق على الوصول إلى الوظيفة المقابلة بغض النظر عن إعدادات Xcode.

إنشاء ملف Entitlement يدويًا

على الرغم من أن Xcode يُنشئ ملف entitlement تلقائيًا عند تمكين Capabilities، غالبًا ما يقوم المطورون ذوو الخبرة بإنشائه أو تحريره يدويًا للضبط الدقيق. الملف له امتداد .entitlements وتنسيق plist (XML). يمكن إضافة مفاتيح entitlement مخصصة غير موجودة في واجهة Xcode، أو دمج entitlements من capabilities مختلفة في ملف واحد.

عند التحرير يدويًا، من المهم ضمان الصحة النحوية لـ XML. سيؤدي خطأ في هيكل plist إلى عدم تطبيق entitlements أثناء التوقيع. يتحقق Xcode من ملف .entitlements في وقت الترجمة ويخرج خطأ إذا كان التنسيق غير صحيح. للمشاريع المعقدة ذات الأهداف والإضافات المتعددة، يُوصى بتخزين مفاتيح entitlement المشتركة في ملفات منفصلة واستيرادها عبر Build Settings.

// cli: checking entitlements of an installed application
codesign -d --entitlements :- /Applications/Safari.app

// Example output contains a list of active entitlements
<dict>
    <key>com.apple.security.ts.apple-wifi</key>
    <true/>
    <key>com.apple.security.network.client</key>
    <true/>
</dict>

Entitlements وأمان التطبيق

تلعب Entitlements دورًا رئيسيًا في نموذج أمان Apple. نظرًا لأن entitlements جزء من التوقيع الرقمي للتطبيق، فإن تزويرها مستحيل دون إعادة توقيع الكود. تتحقق Apple من entitlements على مستويات متعددة: أثناء البناء، يوقع Xcode entitlements مع الملف القابل للتنفيذ؛ أثناء التثبيت، يتحقق النظام من سلامة التوقيع؛ عند بدء التشغيل، يتحقق من entitlements مرة أخرى.

أحد متطلبات الأمان المهمة هو مبدأ الحد الأدنى من entitlement. يجب على المطور تضمين فقط تلك entitlements المستخدمة فعليًا في التطبيق. entitlements غير الضرورية تزيد من سطح الهجوم وقد تتسبب في رفض التطبيق أثناء مراجعة التطبيق. تتحقق Apple صراحة من تطابق entitlements مع وظائف التطبيق.

تعتبر بعض entitlements حساسة وتتطلب موافقة إضافية من Apple. تشمل: com.apple.developer.healthkit (HealthKit)، com.apple.developer.passkit (Wallet)، com.apple.developer.authentication-services.authentication (Sign in with Apple) و com.apple.developer.nfc.readersession.formats (NFC). للحصول على هذه entitlements، يجب تبرير ضرورتها أثناء عملية مراجعة التطبيق.

عند العمل مع entitlements، من المهم مراعاة الاختلافات بين iOS وmacOS. تطبيقات سطح المكتب macOS (Sandboxed) لديها مجموعة أوسع من entitlements مقارنة بـ iOS. على سبيل المثال، entitlement com.apple.security.temporary-exception.* يسمح بتجاوز sandbox مؤقتًا لعمليات معينة — مثل هذه entitlements غائبة تمامًا في iOS.

Entitlements وملفات التزويد

ترتبط Entitlements ارتباطًا وثيقًا بملفات التزويد (Provisioning Profiles). ملف التزويد هو ملف يربط شهادة المطور، وقائمة الأجهزة المسموح بها، ومجموعة من entitlements لتطبيق معين. عند تثبيت تطبيق، يقارن النظام entitlements في الكود مع entitlements في ملف التزويد. إذا كان entitlement موجودًا في الكود ولكنه غائب عن ملف التزويد، فلن يحصل التطبيق على الوصول إلى الوظيفة المقابلة.

لتشخيص مشكلات entitlements، تحقق أولاً من ملف التزويد. يُنشئ Xcode تلقائيًا ملفات التزويد بناءً على capabilities المحددة على بوابة Apple Developer. إذا تمت إضافة capability في Xcode ولكنها غير نشطة على البوابة، فسيتعطل التطبيق مع خطأ في التوقيع عند محاولة استخدام وظيفة محمية.