面试题：Objective-C项目App Store审核中关于代码合规性的难点及应对

Question

在Objective-C代码用于App Store上架审核时，可能会遇到哪些代码合规性方面的难点，例如权限使用、加密算法等，针对这些难点应该如何应对？

Answer 1

权限使用难点及应对

1. 难点：
   • 过度请求权限：如在用户未明确需求时，过早或不必要地请求位置、相机、麦克风等敏感权限，可能导致用户反感且不符合审核规范。
   • 权限使用不当：未按权限申请时告知用户的用途使用权限，例如申请相机权限说用于拍摄照片做头像，实际用于其他未经说明的目的。
2. 应对：
   • 合理时机请求权限：只有在真正需要时才请求权限，例如当用户主动点击拍照功能按钮后，再请求相机权限。
   • 明确权限用途：在请求权限时，使用清晰易懂的语言向用户说明权限用途，并且严格按照说明的用途使用权限。在Info.plist文件中，填写详细且准确的权限描述，如NSCameraUsageDescription字段要清晰说明使用相机的目的。

加密算法难点及应对

1. 难点：
   • 使用未授权加密算法：苹果要求使用符合规定的加密算法，如果使用了未被认可的或者自行开发的不安全加密算法，可能导致审核不通过。
   • 加密算法出口管制问题：部分加密技术可能受到出口管制，若应用涉及国际分发，需确保符合相关规定。
2. 应对：
   • 使用合规加密算法：优先使用苹果推荐的加密框架和算法，如CommonCrypto框架，它提供了常用的加密算法如AES等。避免自行开发未经广泛验证的加密算法。
   • 了解出口管制规定：如果应用面向国际市场，要深入研究并遵循美国及其他相关国家的出口管制规定，确保应用中使用的加密技术不违反相关法律。

其他代码合规性难点及应对

1. 难点：
   • 代码注入和动态加载：使用运行时动态加载代码或代码注入技术可能被认为存在安全风险，审核时可能不被允许。例如使用dlopen函数加载动态库等操作。
   • 第三方库合规性：使用的第三方库可能存在版权问题、安全漏洞或者不符合苹果审核规则，如包含恶意代码或违反隐私政策。
2. 应对：
   • 避免高风险技术：尽量避免使用运行时动态加载代码或代码注入等可能引发安全风险的技术，除非有绝对必要且能证明其安全性。若必须使用，要向苹果详细说明其用途和安全性。
   • 审查第三方库：在引入第三方库前，全面审查其版权、安全和合规性。选择知名、维护良好且有明确使用许可的第三方库，并定期更新第三方库以修复潜在的安全漏洞。同时，确保第三方库的隐私政策与应用自身的隐私政策一致。