iOS Universal Links如何识别网站唤起来源实现流程回跳

该场景不存在iOS系统级限制，有成熟可落地的解决方案。核心问题是现有Universal Links唤起链路没有做来源标识和回跳参数的全链路透传，补全对应逻辑即可实现完整的web-to-app-to-web业务闭环。

• 唤起App A的Universal Links未携带标准化的来源标识、回跳目标参数，App A被唤起后既无法判断触发方是原生App还是Web站点，也没有明确的回跳地址
• 对iOS的Universal Links系统行为认知有偏差：iOS不会在用户通过网页点击Universal Links唤起App时，自动透传来源页的上下文信息，所有业务上下文必须靠链接参数主动传递
• 回跳逻辑没有做场景兼容：现有仅适配了原生App间的跳转，没有覆盖Safari/第三方浏览器/内嵌WebView唤起App后的回跳路径
• 缺失Web端来源的合法性校验：原有App-to-App流程的参数校验逻辑没有覆盖Web场景，直接透传回跳地址存在被恶意构造链接诱导跳转的风险

1. 统一全渠道唤起链接的参数规范 #

不管是合作方App B还是Website A唤起App A，都在原有Universal Links路径后追加固定查询参数，核心参数定义如下：

• source_type：枚举值，固定传app或web，用来区分唤起端类型
• callback_url：签名完成后的回跳目标地址，App B唤起时传自身的Universal Links或自定义URL Scheme，Website A唤起时传签名完成后要展示的站点结果页地址（可提前拼好文档id等业务参数）
• source_sign：合作方用提前约定的密钥对所有业务参数生成的签名，用于防止参数被篡改

注意：callback_url必须做完整URL Encode，避免特殊字符截断链接路径。

举个标准化的唤起链接示例：
原唤起链接：https://signature.app-a.com/sign?doc_id=xxx
Website A使用的唤起链接：https://signature.app-a.com/sign?doc_id=xxx&source_type=web&callback_url=https%3A%2F%2Fwww.website-a.com%2Fsign_success%3Fdoc_id%3Dxxx&source_sign=xxxx

2. 改造App A的唤起参数解析逻辑 #

在App A处理Universal Links的系统入口（AppDelegate的application(_:continue:restorationHandler:)、SceneDelegate的scene(_:continue:)方法）中，统一解析传入链接的所有查询参数：

1. 首先对source_sign做验签，和提前存储的合作方公钥/约定密钥校验通过后再处理后续逻辑，验签失败直接走App内部默认签名流程，不执行外跳
2. 将解析得到的source_type、callback_url和当前签名任务的文档id绑定，存在签名流程的上下文中，避免多任务并发时参数串号
3. 不需要依赖系统API判断唤起来源，完全以链接携带的source_type为准即可，覆盖所有浏览器、内嵌WebView的唤起场景

3. 适配分场景的回跳逻辑 #

签名流程完成、生成签名结果后，根据当前流程上下文的source_type走不同回跳路径：

• 若source_type为app：直接复用现有逻辑，打开callback_url对应的地址唤起App B即可
• 若source_type为web：
  • 先判断当前App A是否是通过ASWebAuthenticationSession或SFSafariViewController被唤起的，如果是优先调用dismiss方法关闭App，自动回到原Web页面，不需要额外触发跳转
  • 如果是用户直接点击Safari/其他浏览器中的Universal Links跳转到App A的，直接调用UIApplication.shared.open方法打开url encode后的callback_url，iOS会自动在对应浏览器中打开目标页面，回到Website A的结果页
  • 回跳时可以把签名状态、结果id作为补充参数拼在callback_url后，方便Website A直接读取参数展示结果，不需要额外轮询接口

4. 边界场景兼容 #

• 当callback_url为空、验签失败时，签名完成后默认展示App A内部的签名成功页，不触发外跳，避免崩溃或恶意跳转
• 提前测试iOS 15+版本的Universal Links跳转权限，确保Website A域名下的唤起链接是用户主动点击触发，避免被系统判定为恶意跳转拦截
• 可额外兼容x-callback-url通用规范，若链接中携带x-success参数优先使用该参数作为回跳地址，适配更多第三方Web接入场景

内容的提问来源于stack exchange，提问作者Yusif Aliyev