Android基于Digital Asset Links的深度链接服务端验证机制问询

嘿，作为刚入坑Android深度链接的新手，你的问题问到点子上了——很多人刚开始都会对这个验证流程摸不着头脑。我来给你把整个逻辑拆解清楚：

1. 核心验证触发时机：应用安装/更新阶段 #

当你安装（或者更新）带有autoVerify="true"属性的intent filter的应用时，Android系统会自动启动验证流程：

• 系统先解析你intent filter里所有<data>标签声明的域名（比如example.com）
• 针对每个域名，系统会发起HTTPS请求，抓取该域名下的/.well-known/assetlinks.json文件
• 接着系统会校验文件内容：是否包含当前应用的包名，以及对应的SHA-256签名指纹是否和应用的签名完全匹配
• 如果所有声明的域名都验证通过，系统会把这些域名和你的应用建立绑定关系，存在本地。后续用户点击对应链接时，会直接打开你的应用，不会弹出应用选择弹窗

2. 日常点击链接时的验证逻辑 #

验证通过后，平时用户点击链接时不会再请求服务器的assetlinks.json——系统会直接调用本地存储的绑定关系，判断这个链接是否属于你的应用，直接完成跳转。

只有两种特殊情况会触发重新验证：

• 应用被更新（即使签名不变，系统可能会再次验证，确保服务器端的配置没有变更）
• 系统检测到绑定关系可能失效（比如用户清除了应用的相关缓存，或者系统安全策略更新）

3. 验证失败的 fallback 处理 #

如果安装阶段验证失败（比如assetlinks.json不存在、内容不匹配、HTTPS请求出错），系统会降级为普通深度链接的行为：用户点击链接时，会弹出应用选择弹窗，让用户选择用浏览器还是你的应用打开。

小提示 #

• 一定要确保assetlinks.json可以被公开访问，且域名的HTTPS配置完全正常（不能有证书错误、重定向问题）
• 注意区分debug和release证书的SHA-256指纹，测试时要对应好服务器上的配置，不然会验证失败

内容的提问来源于stack exchange，提问作者Vaibhav Raj