APP

考虑到跨平台和开发效率，计划使用：

• Capacitor
• Ionic
• Nuxt Ionic

云乐坊 SSO 回调

移动端使用系统浏览器打开云乐坊授权页，并通过已验证的 HTTPS Universal Links / App Links 返回 https://cook.yunyoujun.cn/auth/callback?platform=native。不要改用自定义 URL Scheme； PKCE 能阻止授权码被旁路窃取，但不能阻止恶意 App 主动冒充公开客户端发起授权。

iOS 的 Associated Domains 与站点 apple-app-site-association 已纳入项目。Android 上架前还需用 Google Play App Signing 的发布证书 SHA-256 生成站点文件 public/.well-known/assetlinks.json，关系必须限定为：

[
  {
    "relation": ["delegate_permission/common.handle_all_urls"],
    "target": {
      "namespace": "android_app",
      "package_name": "cn.yunyoujun.cook",
      "sha256_cert_fingerprints": ["<PLAY_APP_SIGNING_SHA256>"]
    }
  }
]

不要把本机 debug keystore 指纹发布到生产站点。完成证书配置后，需在真机验证已登录快捷授权、 显式同意、取消、返回键、超时、伪造回调和授权码重放。