如何对itms-services请求鉴权？Angular+Spring Boot场景

问题核心 #

iOS系统通过itms-services://协议发起的下载请求，由系统独立进程处理，不会携带Angular前端的鉴权Cookie/Token，导致后端返回401；而直接通过Angular请求生成的Blob URL，iOS系统不支持作为manifest的下载地址。

解决方案：临时签名链接机制 #

通过后端生成带签名的一次性临时下载链接，让iOS系统请求这个无需常规鉴权的链接，后端验证签名后返回文件内容。

1. Spring Boot后端实现 #

生成临时签名链接接口

@GetMapping("/api/generate-temp-manifest-url")
public ResponseEntity<String> generateTempManifestUrl(@AuthenticationPrincipal UserDetails user) {
    // 用JWT生成带签名的临时凭证，包含用户信息、有效期、文件类型
    String token = Jwts.builder()
            .setSubject(user.getUsername())
            .setExpiration(new Date(System.currentTimeMillis() + 300000)) // 5分钟有效期
            .claim("target", "manifest")
            .signWith(SignatureAlgorithm.HS256, "your-secure-secret-key")
            .compact();
    // 拼接临时下载URL
    String tempManifestUrl = "https://your-domain.com/api/download-manifest?token=" + token;
    return ResponseEntity.ok(tempManifestUrl);
}

验证签名并返回Manifest文件

@GetMapping("/api/download-manifest")
public ResponseEntity<Resource> downloadManifest(@RequestParam String token) {
    // 验证JWT签名有效性
    try {
        Jwts.parser().setSigningKey("your-secure-secret-key").parseClaimsJws(token);
        // 从MySQL读取Manifest文件内容（假设存储为byte[]）
        byte[] manifestData = yourManifestDao.getManifestContent();
        ByteArrayResource resource = new ByteArrayResource(manifestData);
        return ResponseEntity.ok()
                .header(HttpHeaders.CONTENT_TYPE, "application/xml")
                .body(resource);
    } catch (JwtException e) {
        return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build();
    }
}

IPA文件下载同理

给IPA文件生成临时签名链接的逻辑和Manifest一致，只需修改claim("target", "ipa")，并返回对应文件流，Content-Type设置为application/octet-stream。

2. Angular前端处理 #

先请求后端获取临时Manifest链接，再拼接成itms-services://协议链接：

import { Component, OnInit } from '@angular/core';
import { HttpClient } from '@angular/common/http';

@Component({
  selector: 'app-app-download',
  template: `<ion-button [href]="downloadLink" *ngIf="downloadLink">下载应用</ion-button>`
})
export class AppDownloadComponent implements OnInit {
  downloadLink: string | null = null;

  constructor(private http: HttpClient) {}

  ngOnInit(): void {
    this.fetchTempManifestUrl();
  }

  private fetchTempManifestUrl(): void {
    this.http.get<string>('/api/generate-temp-manifest-url').subscribe(tempUrl => {
      // 对URL进行编码，避免特殊字符问题
      this.downloadLink = `itms-services://?action=download-manifest&url=${encodeURIComponent(tempUrl)}`;
    });
  }
}

关键注意事项 #

• 临时链接必须设置有效期，防止被恶意复用
• Manifest文件内部的IPA下载地址，也需要替换为同样的临时签名链接
• 确保后端返回的文件Content-Type正确，否则iOS可能无法识别文件类型

内容的提问来源于stack exchange，提问作者bcrespo00