Mobilní SDK (Mobile SDK)

Příklady z praxe

1. 01

   Platební SDK místo vlastní integrace

   E-shop potřebuje v aplikaci přijímat karty. Vlastní implementace by znamenala řešit tokenizaci karty, 3-D Secure přesměrování a Apple Pay zvlášť. SDK platební brány dodá hotový formulář, zvládne ověřovací tok i návrat do aplikace a citlivá data se nikdy nedostanou na vlastní server, což výrazně zjednodušuje rozsah PCI DSS.

   // Android, Kotlin: spuštění platebního toku ze SDK
   val config = PaymentConfiguration(publishableKey = BuildConfig.PAY_PUBLIC_KEY)
   paymentSheet.presentWithPaymentIntent(
       paymentIntentClientSecret = secretFromBackend,
       configuration = config
   )

2. 02

   Analytické SDK zpomalilo start

   Tým přidal do aplikace tři marketingová SDK najednou a čas studeného startu vzrostl z 1,2 na 1,9 sekundy, protože se všechna inicializovala synchronně v Application.onCreate. Přesun inicializace na pozadí a odložení dvou z nich až za první vykreslení obrazovky vrátil start pod 1,4 sekundy. Bez měření před integrací by nikdo nevěděl, které SDK je viník.

Časté omyly

MýtusSDK je jen jiné slovo pro API.

Ve skutečnostiAPI je popis rozhraní, tedy dohoda o tom, co se volá a co se vrátí. Mobilní SDK je konkrétní balík kódu, který to rozhraní za vás volá a přidává k němu logiku, například obnovu tokenu, frontu offline událostí a hotové obrazovky.

MýtusKdyž použijeme oficiální SDK, máme integraci hotovou a nemusíme se o ni starat.

Ve skutečnostiVerze SDK stárnou spolu s požadavky obchodů. Apple i Google pravidelně mění pravidla cílového SDK a soukromí, takže neaktualizovaná knihovna může zablokovat vydání celé aplikace, i když funguje bez chyby.

MýtusSDK třetí strany nemůže vidět data mimo svou funkci.

Ve skutečnostiSDK běží ve stejném procesu jako aplikace a má stejná oprávnění. Technicky může číst to, k čemu má aplikace přístup, proto je namístě prověřit vydavatele, licenci i deklarovaný sběr dat.

Časté dotazy

Kolik SDK je v mobilní aplikaci ještě rozumné množství?

Pevné číslo neexistuje, ale platí praktické pravidlo: každé SDK musí mít jasného vlastníka v týmu a měřitelný přínos. V praxi si aplikace vystačí s jedním analytickým, jedním pro hlášení pádů, případně platebním a jedním marketingovým. Jakmile jich je víc než pět, roste velikost balíčku, prodlužuje se studený start a při každé velké aktualizaci systému musíte čekat na kompatibilní verze od více dodavatelů najednou. Duplicitní SDK, která měří totéž, jsou nejčastější zbytečnou zátěží.

Jak bezpečně aktualizovat verzi mobilního SDK?

Aktualizace mobilního SDK patří do samostatného commitu, nikdy do stejného vydání jako velká funkční změna. Postup je přečíst changelog kvůli změnám v rozhraní, zvýšit verzi ve správci závislostí, spustit ukázkovou aplikaci dodavatele a pak vlastní testy. Následuje postupné vydání menší části uživatelů a sledování míry pádů. Zvláštní pozor si zaslouží velké verzové skoky, protože ty často mění minimální podporovanou verzi systému nebo požadavky na oprávnění.

Kdy se vyplatí volat API přímo místo SDK?

Přímé volání API dává smysl tam, kde potřebujete jen jeden nebo dva endpointy, kde vám vadí velikost knihovny nebo kde SDK přináší závislosti, jež kolidují se zbytkem projektu. Vlastní tenký klient také dává plnou kontrolu nad tím, jaká data odcházejí, což ocení aplikace s přísnými požadavky na soukromí. Cenou je, že si sami musíte vyřešit obnovu tokenů, opakování požadavků, chování offline a udržování kompatibility při změnách na straně služby.

Funguje nativní mobilní SDK i v React Native nebo Flutteru?

Nativní mobilní SDK samo o sobě v React Native ani Flutteru volat nelze, protože jeho rozhraní je v Kotlinu nebo Swiftu. Potřebujete most, tedy plugin, který nativní metody vystaví do JavaScriptu či Dartu. Většina velkých dodavatelů takový oficiální plugin vydává, ale bývá o jednu až dvě verze pozadu za nativní knihovnou a nemusí pokrývat celé rozhraní. Pokud oficiální plugin neexistuje, zbývá napsat vlastní nativní modul, což je práce pro vývojáře znalého obou platforem.

Zdroje

1. Software development kit(otevře se v novém okně)Wikipedia
2. OWASP Mobile Application Security(otevře se v novém okně)OWASP
3. Stripe Documentation(otevře se v novém okně)Stripe

Související pojmy

• APIAPI je smluvené rozhraní, přes které spolu dva programy komunikují, aniž by jeden musel znát vnitřní fungování druhého. Definuje, jaké operace lze volat, jaká data se posílají a co se vrátí zpět.
• Hybridní aplikaceHybridní aplikace je aplikace kombinující webové technologie, například HTML, CSS a JavaScript, s nativním obalem pro konkrétní platformu. Uživatel ji obvykle instaluje jako běžnou mobilní aplikaci, ale část rozhraní a logiky běží ve WebView nebo podobné vrstvě. Výhodou je sdílení kódu, kompromisem výkon a integrace se systémem.
• Nativní aplikaceNativní aplikace je software vytvořený pro konkrétní operační systém nebo platformu, například iOS, Android, Windows či macOS. Používá jejich oficiální SDK, jazyky a rozhraní zařízení, takže může nabídnout vysoký výkon, přirozené ovládání a hlubokou integraci, ale často vyžaduje samostatný vývoj pro každou platformu.
• Tokenizace kartyTokenizace karty je bezpečnostní postup, při kterém se číslo platební karty nahradí náhradním identifikátorem zvaným token. Obchodník pak může kartu použít pro platbu, vrácení peněz nebo opakované stržení, aniž by ukládal celé PAN. Skutečné číslo drží platební brána, acquirer nebo síťový tokenizační systém s přísnějšími pravidly zabezpečení.
• ACIDACID je sada čtyř vlastností databázové transakce: atomicity, consistency, isolation a durability. Zaručuje, že skupina zápisů proběhne jako jeden celek, neporuší definovaná pravidla databáze, nebude se nebezpečně míchat s jinými transakcemi a po potvrzení přežije pád systému, například při převodu peněz.
• Adaptive IconAdaptivní ikona je formát ikony aplikace na Androidu, který se místo jedné hotové bitmapy skládá z oddělených vrstev: pozadí a popředí. Systém výsledný tvar sám ořízne podle masky výrobce zařízení a může vrstvy animovat nebo přebarvit. Vývojář tak dodá jeden zdroj a launcher z něj vytvoří kruh, čtverec i squircle.
• Adresa v pamětiAdresa v paměti je číslo, kterým procesor jednoznačně označuje konkrétní buňku operační paměti, obvykle jeden bajt. Program pomocí adresy říká, odkud má data načíst nebo kam je zapsat. Adresy tvoří souvislý číselný rozsah, jehož velikost určuje šířka adresní sběrnice a architektura, typicky 32 nebo 64 bitů.
• AI agentAI agent je softwarový systém, který pomocí modelu umělé inteligence vnímá zadaný kontext, plánuje další kroky a samostatně volá nástroje nebo služby k dosažení cíle. Na rozdíl od jednorázového promptu udržuje stav úlohy, vyhodnocuje výsledky akcí a může opakovat postup, dokud nesplní zadání nebo nenarazí na limit.