اختبار الروابط العميقة

لماذا يهم

تحمل الروابط العميقة اللحظات المهمة: حملة تسويقية، وإعادة تعيين كلمة المرور، وتحديث حالة التوصيل. وحين يتعطل أحدها يكون الإخفاق صامتاً: يصل المستخدم إلى الشاشة الرئيسية، أو إلى صفحة ويب تقول «غير موجودة»، أو الأسوأ إلى بيانات شخص آخر، ويعرف الفريق بذلك من تذاكر الدعم. وكثير من الأسباب يقع خارج شيفرة التطبيق: في ملف على الموقع الإلكتروني، أو شهادة توقيع، أو إعادة توجيه أضافتها أداة بريد، لذا لا تكشفها اختبارات واجهة المستخدم المعتادة التي تبدأ من داخل التطبيق.

والرابط العميق أيضاً مُدخل يأتي من خارج التطبيق. يستطيع أي أحد صياغته، فيجب أن يتحقق التطبيق من صحته، وألا يتجاوز تسجيل الدخول أو ينفّذ إجراءً دون تأكيد لمجرد أن رابطاً طلب ذلك. وهو بالنسبة للمختبِر مجال مركّز عالي القيمة: مجموعة صغيرة مختارة جيداً من التوليفات تغطي المخاطر الحقيقية متى عرفت أيّ الحالات وقواعد المنصة تجمع بينها.

المخططات المخصصة وAndroid App Links وUniversal Links في iOS

رابط مخطط URL المخصص (Custom URL scheme) يستخدم مخططاً يسجّله التطبيق لنفسه، مثل shop://orders/A-1042. وهو بسيط، لكن لا شيء يثبت أن المخطط ملك لتطبيقك: يستطيع تطبيق آخر تسجيل المخطط نفسه، وإذا لم يكن هناك تطبيق مثبّت يعالجه يفشل الرابط ببساطة. احتفظ به للروابط داخل منتجاتك، لا للروابط التي ترسلها إلى المستخدمين.

أما Android App Links فهي روابط https عادية يتحقق منها Android. يعلن التطبيق النطاق في مرشّح نوايا (Intent filter)، أي المدخل في ملف Manifest الذي يسرد الروابط التي يستطيع التطبيق فتحها، مع android:autoVerify="true"، وينشر الموقع الملف /.well-known/assetlinks.json وفيه اسم حزمة التطبيق وبصمة SHA-256 لشهادة التوقيع. وعند نجاح التحقق يفتح الرابط التطبيق مباشرةً. ومنذ Android 12 يُفتح رابط https غير المتحقَّق منه في المتصفح الافتراضي، إلا إذا وافق المستخدم على النطاق للتطبيق في إعداداته.

وتتبع الروابط العامة (Universal Links) في iOS الفكرة نفسها. يذكر التطبيق النطاق في صلاحية Associated Domains (applinks:shop.example.com)، وينشر الموقع ملف apple-app-site-association الذي يسمّي التطبيق والمسارات التي يعالجها. ومنذ iOS 14 تجلب الأجهزة هذا الملف عبر شبكة توصيل المحتوى (CDN) التابعة لـ Apple، وقد تحتاج هذه الشبكة إلى 24 ساعة لالتقاط أي تغيير، ويُنزّل الجهاز الملف عند تثبيت التطبيق ثم لا يبحث عن تحديث له إلا مرة في الأسبوع تقريباً؛ لذا بعد الإصلاح انتظر الشبكة ثم أعد تثبيت التطبيق على جهاز الاختبار. والرابط العام المكتوب في شريط عنوان Safari يفتح الموقع، وكذلك النقر على رابط من النطاق نفسه والمستخدم على ذلك الموقع في Safari: هذا سلوك المنصة وليس عيباً.

• يُقدَّم الملفان عبر HTTPS بشهادة صالحة ودون إعادة توجيه، ويُقدَّم assetlinks.json بنوع المحتوى application/json.
• كل نسخة Android موقّعة بمفتاح، والبصمة تعرّف شهادة ذلك المفتاح. ويجب أن تطابق البصمةُ المفتاحَ الذي وقّع النسخة المثبّتة: لنسخ التصحيح (Debug) ونسخ الإصدار والنسخ التي يعيد توقيعها Google Play App Signing بصمات مختلفة، ويمكن أن يسرد الملف أكثر من بصمة.
• ملف iOS بلا امتداد .json، وتنطبق مساراته على كل نسخة مثبّتة من التطبيق، بما فيها النسخ القديمة.
• الربط العميق المؤجَّل (Deferred deep linking)، أي الوصول إلى الهدف بعد تثبيت التطبيق من المتجر، ليس ميزة في المنصة. فإن طلبه المتطلب بناه فريقك أو حزمة SDK من طرف ثالث، ويحتاج إلى اختباراته الخاصة.

https://shop.example.com/.well-known/assetlinks.json  (Android App Links)
[{
  "relation": ["delegate_permission/common.handle_all_urls"],
  "target": {
    "namespace": "android_app",
    "package_name": "com.example.shop",
    "sha256_cert_fingerprints": ["14:6D:E9:...:2E:5F"]
  }
}]

https://shop.example.com/.well-known/apple-app-site-association  (iOS Universal Links)
{
  "applinks": {
    "details": [{
      "appIDs": ["ABCDE12345.com.example.shop"],
      "components": [{ "/": "/orders/*" }]
    }]
  }
}

جرّبها: مدقّق JSON جرّبها: محلّل عناوين URL

مثبّت أم لا، مسجّل الدخول أم لا

اختبر الرابط نفسه في عدة حالات، لأن كل حالة تسلك مساراً مختلفاً. غير مثبّت: يفشل رابط المخطط المخصص، بينما يفتح رابط https المتحقَّق منه الموقع على العنوان نفسه، فيجب أن يكون هذا العنوان صفحة حقيقية، ويُفضَّل أن تعرض طريقة للحصول على التطبيق، لا صفحة 404 أبداً. مثبّت لكن غير متحقَّق منه: يُفتح الموقع رغم وجود التطبيق، وهذه العلامة المعتادة لبصمة خاطئة أو ملف ربط معطّل. مثبّت بنسخة أقدم: يجب أن يعود التطبيق إلى شاشة معقولة عند مسار لا يعرفه، لا أن ينهار.

وطريقة تشغيل التطبيق مهمة أيضاً. فالرابط الذي يصل والتطبيق مغلق يشغّله من البداية، والذي يصل وهو في الخلفية أو يعرض شاشة أخرى يمرّ بشيفرة مختلفة. اختبر الحالتين، وتحقق إلى أين يقود زر الرجوع بعد ذلك.

ثم المستخدم. غير مسجّل الدخول: تظهر شاشة تسجيل الدخول، وبعد نجاحه تُفتح الشاشة المرتبطة لا الشاشة الرئيسية. مسجّل الدخول بصفته المالك: يُفتح السجل الصحيح. مسجّل الدخول بحساب مستخدم آخر: رسالة واضحة بأن المحتوى غير متاح ولا شيء من بيانات المالك، ويفرض الخادم ذلك ولا يكتفي التطبيق بالإخفاء. جلسة منتهية أو أول تشغيل بعد التثبيت: يجب ألا تبتلع إعادةُ المصادقة أو شاشاتُ التعريف بالتطبيق (Onboarding) أو طلبُ إذنٍ الرابطَ.

جرّبها: مولّد الاختبار الزوجي (Pairwise)

تشغيل الروابط والتحقق من الربط

انقر الروابط من القنوات التي يستخدمها المستخدمون فعلاً: تطبيق البريد، والرسائل النصية، وتطبيق دردشة، ورمز QR يُمسح بالكاميرا، وإشعار فوري. فبعض التطبيقات تفتح الروابط في متصفح داخلي خاص بها قد لا يسلّمها إلى تطبيقك، وتتبّع النقرات في البريد كثيراً ما يغلّف الرابط بإعادة توجيه عبر نطاق آخر غير مرتبط بتطبيقك. اختبر الرابط كما يُرسَل بالضبط، لا العنوان النظيف المكتوب في التذكرة.

وللفحوص السريعة القابلة للتكرار استخدم أدوات المنصة. في Android يطلق adb رابطاً ويترك للنظام اختيار التطبيق الذي يعالجه، ومنذ Android 12 يعرض حالة التحقق من النطاق ويعيد تشغيلها. وفي محاكي iOS يفتح simctl عنوان URL، أما على iPhone حقيقي فالصق الرابط في Notes أو Messages وانقر عليه.

# Android: fire the link and let the system choose the app (no package name)
adb shell am start -W -a android.intent.action.VIEW \
  -c android.intent.category.BROWSABLE \
  -d "https://shop.example.com/orders/A-1042"

# Android 12+: domain verification state, then a fresh verification
adb shell pm get-app-links com.example.shop
adb shell pm verify-app-links --re-verify com.example.shop

# iOS Simulator: open the link through the system
xcrun simctl openurl booted "https://shop.example.com/orders/A-1042"

جرّبها: فاحص إعادة التوجيه

مثال تطبيقي: رابط الطلب في رسالة الشحن

المتطلب: «تتضمن رسالة الشحن رابطاً إلى الطلب. مع التطبيق يفتح الرابط تفاصيل الطلب، ومن دونه يفتح صفحة الطلب على الموقع». الرابط هو https://shop.example.com/orders/A-1042 والطلب يخص سارة. ابدأ بجدول قرار (Decision table) على أربعة شروط من نوع صحيح أو خطأ: مثبّت، ومتحقَّق منه، ومسجّل الدخول، والمالك. وكل عمود في الجدول توليفة واحدة من هذه الشروط الأربعة مع الشاشة التي يجب أن يفتحها الرابط، والأعمدة تعطي الحالات الأساسية؛ ويشرح درس اختبار جداول القرار كيف تبني الجدول وتدمج الأعمدة التي لا يغيّر فيها شرطٌ النتيجة. ثم أضف تنويعات حالة التشغيل والقناة إلى الأعمدة الأعلى مخاطرة بدلاً من مضاعفة كل شيء.

• مثبّت، وسارة مسجّلة الدخول، والتطبيق مغلق: يُفتح الطلب A-1042، ويقود زر الرجوع إلى قائمة الطلبات كما اتُّفق.
• الحالة نفسها والتطبيق في الخلفية على شاشة السلة: يُفتح الطلب A-1042 وتبقى السلة دون تغيير.
• مثبّت وغير مسجّل الدخول: تظهر شاشة تسجيل الدخول، وبعد دخول سارة يُفتح الطلب A-1042 لا الشاشة الرئيسية.
• مثبّت ومستخدم آخر مسجّل الدخول: رسالة بأن الطلب غير متاح، ولا بيانات من A-1042، وترفض الواجهة البرمجية (API) إرجاع بيانات الطلب A-1042.
• غير مثبّت: تُفتح صفحة الطلب على الموقع (بعد تسجيل الدخول على الويب) مع رابط إلى المتجر، ولا صفحة 404.
• نسخة موقّعة بمفتاح غير مذكور في assetlinks.json: يُفتح الموقع ولا يُظهر pm get-app-links النطاق بالحالة verified. أبلغ عنه على الإعدادات لا على الشاشة.
• معرّف مجهول أو فارغ أو طويل جداً (/orders/A-9999 و/orders/ ومعرّف من 300 حرف): شاشة خطأ واضحة دون انهيار.
• رسالة البريد الحقيقية، عبر إعادة توجيه تتبّع النقرات، في كل تطبيق بريد مدعوم: النتيجة نفسها كما مع الرابط النظيف.

جرّبها: مولّد جداول القرار جرّبها: مولّد حالات الاختبار

أسئلة شائعة

المراجع

• About App LinksAndroid Developers (Google)روابط App Links في Android: روابط عميقة إلى موقعك يتحقق منها النظام عبر ملف Digital Asset Links (assetlinks.json)، فتفتح التطبيق مباشرةً.
• Allowing apps and websites to link to your contentAppleالروابط العامة (Universal Links) على منصات Apple: روابط ويب عادية تفتح التطبيق إن كان مثبّتاً — بعد أن يتحقق النظام من ملف على موقعك — وتفتح الموقع إن لم يكن.
• OWASP Mobile Application Security Testing Guide (MASTG)OWASP Foundationدليل الاختبار المرافق لـ MASVS: تقنيات وحالات اختبار للتحقق من أمان تطبيقات الجوال.
• OWASP Mobile Application Security Verification Standard (MASVS)OWASP Foundationمتطلبات OWASP الأمنية لتطبيقات الجوال، مجمّعة في مجالات ضبط مثل التخزين والتشفير والمصادقة والشبكة والتفاعل مع المنصة.