Диплинки и URL-схемы: как валидировать ввод и не дать себя атаковать?
Суть
Диплинк может открыть кто угодно: веб-страница, сообщение, QR-код, пуш, другое приложение. Поэтому любой URL, пришедший в приложение, — недоверенный ввод, такой же, как поле формы. Диплинк должен только привести пользователя на нужный экран и предзаполнить данные, а действия с последствиями — платёж, удаление, смена настроек — пользователь подтверждает сам.
Продолжение ответа с кодом и уточняющими вопросами интервьюера — в приложении DevPrep.
Полный ответ — в DevPrep