2. URI Scheme 原理与注册流程

2.1 URI Scheme 语法基础

URI Scheme 遵循 RFC 3986 规范，标准格式为：

scheme://host/path?query#fragment

各部分含义：

2.2 Android 注册方式

Android 通过 AndroidManifest.xml 中的 <intent-filter> 声明 Scheme：

<activity android:name=".DeepLinkActivity">
    <intent-filter>
        <action android:name="android.intent.action.VIEW" />
        <category android:name="android.intent.category.DEFAULT" />
        <category android:name="android.intent.category.BROWSABLE" />
        <data
            android:scheme="myapp"
            android:host="open"
            android:pathPrefix="/product" />
    </intent-filter>
</activity>

• android:scheme — 必须，指定 URI 协议名。
• android:host — 可选，用于二次过滤。
• android:pathPrefix / android:pathPattern — 可选，匹配路径。
• android.intent.category.BROWSABLE — 允许来自浏览器的跳转。

2.3 iOS 注册方式

iOS 在 Info.plist 中配置 CFBundleURLTypes：

<key>CFBundleURLTypes</key>
<array>
    <dict>
        <key>CFBundleURLName</key>
        <string>com.example.myapp</string>
        <key>CFBundleURLSchemes</key>
        <array>
            <string>myapp</string>
        </array>
    </dict>
</array>

同时需要在 SceneDelegate (iOS 13+) 或 AppDelegate 中实现处理回调：

// iOS 13+ SceneDelegate
func scene(_ scene: UIScene, openURLContexts URLContexts: Set<UIOpenURLContext>) {
    guard let url = URLContexts.first?.url else { return }
    handleDeepLink(url: url)
}

// iOS 12 及以下 AppDelegate
func application(_ app: UIApplication, open url: URL,
                 options: [UIApplication.OpenURLOptionsKey : Any] = [:]) -> Bool {
    handleDeepLink(url: url)
    return true
}

2.4 多 Scheme 冲突处理

当多个应用注册相同 Scheme 时，系统行为因平台而异：

2.5 安全校验

URI Scheme 的安全校验必须在业务处理前完成，防止恶意 App 构造虚假 URI 劫持或欺骗用户。校验清单：

1. 来源校验：检查 referrer（Android）或 sourceApplication（iOS）是否为已知可信包
2. host & path 白名单：只处理预定义的合法 host 和 path
3. 参数消毒：对 query 参数进行 URL 解码后校验，防止 SQL 注入/XSS
4. 深度字符限制：限制 URI 总长度（一般 ≤2048 字符）
5. 签名校验（Android）：通过 PackageManager 获取调用者签名，比对白名单

fun isTrustedSource(context: Context, intent: Intent): Boolean {
    val referrer = intent.getStringExtra("referrer") ?: return false
    val packageName = extractPackageFromReferrer(referrer) ?: return false
    val trustedPackages = listOf("com.example.legitimate")
    if (packageName !in trustedPackages) return false
    val packageManager = context.packageManager
    val signature = packageManager.getPackageInfo(packageName,
        PackageManager.GET_SIGNATURES).signatures[0].toCharsString()
    return signature == EXPECTED_SIGNATURE_HASH
}

2.6 调试技巧

测试 URI Scheme 是否正常注册：

• Android：执行 adb shell am start -W -a android.intent.action.VIEW -d "myapp://open/product/123"，观察日志中 ActivityManager 的输出。
• iOS：在 Safari 地址栏直接输入 myapp://，检查是否弹出提示“打开此页面”。
• 通用：在终端使用 open 命令（macOS）或第三方工具 URL Scanner 验证。

2.7 常见错误与稳定性优化