iOS dasturlashda Entitlements: bu nima, qanday turlari bor va qanday sozlanadi

Entitlements nima?

Entitlements (ingliz tilidan tarjimada — „huquqlar") — dasturni qurish bosqichida kod imzosiga qo'shiladigan va dasturning qaysi tizim funksiyalari va ma'lumotlariga kirishini belgilaydigan kalit-qiymat juftligidir. Entitlements iOS SDK paydo bo'lganidan beri Apple xavfsizlik modeliga kiritilgan va App Store orqali tarqatiladigan barcha dasturlar uchun majburiydir.

Entitlements kontseptsiyasi Android dagi an'anaviy ruxsatlardan (permissions) farq qiladi. Android ruxsatlari funksiyadan birinchi foydalanish paytida foydalanuvchidan so'ralsa, iOS da Entitlements dastur ishga tushirilganda tizim tomonidan raqamli imzo asosida tekshiriladi. Foydalanuvchi entitlement ni bekor qila olmaydi yoki o'zgartira olmaydi — bu huquq dasturchiga App Store Connect orqali beriladi va imzolash profilida mustahkamlanadi.

Har bir entitlement qat'iy belgilangan maqsad va formatga ega. Masalan, com.apple.security.application-groups bitta dasturchining dasturlar to'plami uchun umumiy konteynerga kirishni ta'minlaydi, aps-environment esa Push bildirishnomalarini qo'llab-quvvatlashni yoqadi. Apple App Review jarayonida entitlement so'rovlarini qo'lda tekshiradi, bu esa huquqlardan noto'g'ri foydalanishning oldini oladi.

iOS da Entitlements turlari

Entitlements funksional maqsadiga ko'ra bir necha toifaga bo'linadi. Tizim xizmatlari — iCloud, Push Notifications, Siri. Xavfsizlik va ma'lumotlar — Keychain Access Groups, App Groups, Data Protection. Tarmoq va aloqa — Multipath TCP, VPN, Hotspot Configuration. Uskuna imkoniyatlari — Camera, Microphone, Bluetooth (bog'liq capabilities orqali).

Capabilities va xizmat Entitlements

Xcode bog'liq entitlements ni Capabilities da guruhlaydi — Signing & Capabilities yorlig'idagi yuqori darajadagi kalitlar. Capability ni yoqish avtomatik ravishda .entitlements fayliga kerakli entitlements ni qo'shadi. Masalan, Push Notifications Capability ni yoqish aps-environment entitlement ni development yoki production qiymati bilan qo'shadi, iCloud ni yoqish esa CloudKit va Key-Value storage uchun entitlements to'plamini qo'shadi.

Ba'zi capabilities Apple Developer portalida qo'shimcha sozlashni talab qiladi. Masalan, App Groups uchun portala guruh identifikatorini ro'yxatdan o'tkazish kerak, shundan so'ng u Xcode da tanlash uchun mavjud bo'ladi. Push Notifications uchun APNs kaliti yoki sertifikati yaratilishi kerak. Ushbu dastlabki qadamlarsiz entitlement hatto to'g'ri .entitlements fayli bilan ham ishlamaydi.

App Groups va Keychain Access

com.apple.security.application-groups entitlement i bitta dasturchining bir nechta dasturlariga fayl tizimida umumiy konteynerga ega bo'lishga imkon beradi. Bu asosiy dastur va kengaytmalar (Widget, Watch App, Share Extension) o'rtasida ma'lumot almashish uchun ishlatiladi. Bir guruhdagi barcha dasturlar /Library/Group Containers/ umumiy katalogida fayllarni o'qishi va yozishi mumkin.

Keychain Access Groups (kalit keychain-access-groups) — bir guruhdagi dasturlarga Keychain elementlariga umumiy kirish imkonini beradigan yana bir muhim entitlement. Bu yagona autentifikatsiyani amalga oshirish uchun juda muhim: foydalanuvchi bir dasturga kiradi va avtomatik ravishda parolni qayta kiritmasdan boshqa dasturda xuddi shu hisobga kirish huquqini oladi.

Entitlements ni qanday sozlash

Entitlements ni sozlash Xcode da target sozlamalaridagi Signing & Capabilities yorlig'ida amalga oshiriladi. Dasturchi ro'yxatdan kerakli Capabilities ni tanlaydi va Xcode avtomatik ravishda .entitlements faylini yaratadi yoki yangilaydi. Bu fayl loyihada plist tuzilmasi bilan XML formatida saqlanadi va ushbu target uchun barcha entitlement kalitlarini o'z ichiga oladi.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
  "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>com.apple.security.application-groups</key>
    <array>
        <string>group.com.example.shared</string>
    </array>
    <key>aps-environment</key>
    <string>development</string>
    <key>keychain-access-groups</key>
    <array>
        <string>$(AppIdentifierPrefix)com.example.keychain</string>
    </array>
</dict>
</plist>

Entitlement faylini qo'lda yaratishda kalit formatiga va prefikslarga rioya qilish muhim. Apple Entitlements teskari domen uslubidan (com.apple.*) foydalanadi. O'z maqsadlari uchun maxsus entitlements ham mumkin, ammo ular dasturchi portalida ro'yxatdan o'tkazilishi kerak. Xcode barcha standart entitlement kalitlari uchun avtomatik to'ldirishni ta'minlaydi.

Entitlements ni tuzatish uchun macOS terminalida codesign buyrug'idan foydalaning. codesign -d --entitlements :- <dastur_yo'li> buyrug'i dastur imzolangan barcha entitlements ni ko'rsatadi. Bu muammolarni diagnostika qilish uchun foydali: agar entitlement natijada bo'lmasa, dastur Xcode dagi sozlamalardan qat'i nazar, tegishli funksiyaga kirish huquqiga ega bo'lmaydi.

Entitlement faylini qo'lda yaratish

Xcode Capabilities ni yoqishda entitlement faylini avtomatik yaratsa ham, tajribali dasturchilar ko'pincha nozik sozlash uchun uni qo'lda yaratadilar yoki tahrir qiladilar. Fayl .entitlements kengaytmasiga va plist (XML) formatiga ega. Unda Xcode interfeysida mavjud bo'lmagan maxsus entitlement kalitlari qo'shilishi yoki turli capabilities dan entitlements bir faylda birlashtirilishi mumkin.

Qo'lda tahrir qilishda XML ning sintaktik to'g'riligini kuzatish muhim. Plist tuzilmasidagi xato imzolash paytida entitlements qo'llanilmasligiga olib keladi. Xcode .entitlements faylini kompilyatsiya bosqichida tekshiradi va noto'g'ri formatda xato ko'rsatadi. Bir nechta target va kengaytmalarga ega murakkab loyihalar uchun umumiy entitlement kalitlarini alohida fayllarda saqlash va ularni Build Settings orqali import qilish tavsiya etiladi.

// cli: o'rnatilgan dasturning entitlements larini tekshirish
codesign -d --entitlements :- /Applications/Safari.app

// Namuna chiqishi faol entitlements ro'yxatini o'z ichiga oladi
<dict>
    <key>com.apple.security.ts.apple-wifi</key>
    <true/>
    <key>com.apple.security.network.client</key>
    <true/>
</dict>

Entitlements va dastur xavfsizligi

Entitlements Apple xavfsizlik modelida asosiy rol o'ynaydi. Entitlements dasturning raqamli imzosining bir qismi bo'lganligi sababli, kodni qayta imzolamasdan ularni soxtalashtirish mumkin emas. Apple entitlements ni bir necha darajada tekshiradi: qurish paytida Xcode entitlements ni bajariladigan fayl bilan birga imzolaydi, o'rnatish paytida tizim imzo yaxlitligini tekshiradi, ishga tushirish paytida esa entitlements ni qayta tasdiqlaydi.

Muhim xavfsizlik talablaridan biri minimal entitlement tamoyilidir. Dasturchi faqat dasturda haqiqatan ishlatiladigan entitlements ni yoqishi kerak. Ortiqcha entitlements hujum yuzasini oshiradi va App Review da dasturning rad etilishiga olib kelishi mumkin. Apple entitlements ning dastur funksionalligiga mosligini aniq tekshiradi.

Ba'zi entitlements sezuvchan (sensitive) hisoblanadi va Apple dan qo'shimcha tasdiqni talab qiladi. Bularga kiradi: com.apple.developer.healthkit (HealthKit), com.apple.developer.passkit (Wallet), com.apple.developer.authentication-services.authentication (Sign in with Apple) va com.apple.developer.nfc.readersession.formats (NFC). Ushbu entitlements ni olish uchun App Review jarayonida ularning zarurligini asoslash kerak.

Entitlements bilan ishlashda iOS va macOS o'rtasidagi farqlarni hisobga olish muhim. macOS ning ish stoli dasturlari (Sandboxed) iOS ga nisbatan kengroq entitlements to'plamiga ega. Masalan, com.apple.security.temporary-exception.* entitlement i muayyan operatsiyalar uchun sandbox ni vaqtincha chetlab o'tishga imkon beradi — iOS da bunday entitlements umuman mavjud emas.

Entitlements va Provisioning Profile

Entitlements imzolash profillari (Provisioning Profiles) bilan chambarchas bog'liq. Imzolash profili dasturchi sertifikatini, ruxsat etilgan qurilmalar ro'yxatini va ma'lum bir dastur uchun entitlements to'plamini bog'laydigan fayldir. Dastur o'rnatilayotganda tizim koddagi entitlements ni imzolash profilidagi entitlements bilan solishtiradi. Agar entitlement koddda mavjud bo'lsa, lekin profilda bo'lmasa, dastur tegishli funksiyaga kirish huquqiga ega bo'lmaydi.

Entitlements bilan bog'liq muammolarni diagnostika qilish uchun avval imzolash profilini tekshiring. Xcode Apple Developer portalida tanlangan capability asosida avtomatik profillarni yaratadi. Agar capability Xcode da qo'shilgan bo'lsa, lekin portala faol bo'lmasa, dastur himoyalangan funksiyadan foydalanishga urinayotganda imzolash xatosi bilan ishdan chiqadi.