38장. Universal Link와 App Link를 서버에서 검증한다

iOS apple-app-site-association에는 team/bundle 조합과 허용 path를, Android assetlinks.json에는 package와 실제 app-signing certificate fingerprint를 둔다. 두 파일은 HTTPS에서 redirect 없이 올바른 content type으로 제공하고 CDN이 오래된 값을 무기한 cache하지 않게 한다. debug/upload/app-signing fingerprint를 구분한다.

deep link payload는 /inspections/FM-1842처럼 내부 route id만 표현한다. 임의 외부 URL, JavaScript, file path, 다른 tenant id를 직접 실행하지 않는다. 로그인 전에는 검증된 pending route를 제한 시간 보관하고 로그인·site authorization 뒤 이동한다. 존재하지 않거나 권한 없는 자원은 안전한 홈과 안내로 보낸다.

실기기는 설치 전/후, 앱 종료/foreground, 메신저·메일·QR, 다른 browser에서 test한다. association cache 때문에 파일 수정이 즉시 반영되지 않을 수 있으므로 OS 진단과 재설치 조건을 기록한다. 도메인 전환과 인증서 교체도 link 회귀 시험에 포함한다.