IPC мини-программ с хостом: реализация и безопасность

Представьте: у вас Super App с десятком мини-программ — карта, кошелёк, история поездок. Каждая работает изолированно, но пользователь ожидает, что при оформлении заказа в карте подтянется баланс из кошелька. Реализуем IPC-слой, который связывает эти сценарии без единой утечки данных. Мы используем typed event bus с namespace-изоляцией и scoped data access — решения, проверенные в 20+ проектах с рейтингом 4.9. Ниже — подробности архитектуры.

Мини-программа живёт в изолированном контексте — свой WebView, своя память, потенциально свой процесс. Но пользователю нужно, чтобы она видела баланс его кошелька в Super App, могла инициировать заказ такси из другой мини-программы, получала push-уведомления через общий канал хоста. Всё это — межпроцессное взаимодействие (IPC). И здесь архитектурные решения имеют прямые последствия для безопасности всей платформы.

Почему стандартный bridge не достаточен?

JS Bridge, описанный в контексте runtime-контейнера, решает задачу «мини-программа → нативный API хоста». Но IPC — это другие сценарии:

• Мини-программа → данные основного приложения: прочитать профиль пользователя, баланс, историю заказов
• Хост → мини-программа: отправить событие (изменился баланс, пришёл заказ, изменилось состояние сессии)
• Мини-программа A → мини-программа B: передать параметры при открытии, вернуть результат закрытия (как startActivityForResult в Android)
• Мини-программа → фоновый сервис хоста: запустить длительную операцию (загрузка файла, background tracking)

Первая ошибка — реализовать всё через один синхронный bridge-метод getData(key). Это создаёт data store внутри контейнера, к которому потенциально имеет доступ любая мини-программа. Без строгой модели разрешений любое мини-приложение читает данные любого другого.

Архитектура: Event Bus поверх bridge

Правильный подход — typed event system с namespace-изоляцией:

// В SDK мини-программы
sdk.host.subscribe('wallet.balanceChanged', (payload) => {
  updateUI(payload.balance)
})

sdk.host.emit('order.created', { items, total })

На нативной стороне это NotificationCenter (iOS) или LocalBroadcastManager / EventBus (Android) с proxy-слоем, который:

1. Принимает emit от конкретной мини-программы
2. Проверяет, что мини-программа имеет permission на этот event namespace
3. Маршрутизирует событие — либо внутри хоста, либо в другую мини-программу

Маршрутизация между мини-программами требует отдельного решения. Если они в разных процессах — нужен реальный IPC. На Android это Messenger + IBinder через AIDL, или в более простых случаях — ContentProvider как shared data bus. На iOS между процессами WKWebView — только через хост-приложение как посредника (Darwin notifications или XPC если WKWebView запущен в отдельном Extension).

Как организовать Request-Response между мини-программами?

Сценарий: мини-программа карты хочет открыть мини-программу навигации и получить обратно выбранный маршрут.

На Android это аналог startActivityForResult, реализованный через контейнер:

// В мини-программе карты
const route = await sdk.miniapp.open('com.maps.navigation', {
  origin: currentLocation,
  destination: selectedPoint
})
// route получаем когда navigation-мини-программа вызовет sdk.miniapp.finish({route})

Контейнер хранит correlation ID вызова, запускает целевую мини-программу с параметрами через deep link формат (miniapp://com.maps.navigation?callId=uuid&params=base64), и когда та вызывает finish() — доставляет результат в промис вызывающей стороны.

Timeout на ожидание результата — обязателен. Пользователь может просто закрыть навигационную мини-программу не выбрав маршрут. Контейнер должен резолвить промис с {cancelled: true} через 0ms при закрытии.

Данные хоста: Scoped Data Access

Самая чувствительная часть IPC — доступ мини-программ к данным основного приложения. Профиль пользователя, платёжные данные, история.

Реализуем через Data Provider API с явными scopes:

// Мини-программа запрашивает только то, что задекларировала в manifest
const user = await sdk.host.getUser(['name', 'phone', 'avatarUrl'])
// email и paymentMethods — недоступны без соответствующего scope в manifest

На нативной стороне — Provider Registry: словарь {scope → handler}. Каждый handler знает, для каких мини-программ он открыт (можно ограничить белым списком bundle ID). Данные сериализуются в JSON, передаются через bridge. Чувствительные поля (токены, полные номера карт) — никогда. Только токенизированные представления.

Push-события от хоста к активной мини-программе

Хост получил WebSocket-сообщение о новом заказе. Мини-программа курьера сейчас открыта. Нужно уведомить её без пользовательского действия.

На iOS: webView.evaluateJavaScript("window.__miniapp_dispatch__('\(eventJSON)')"). Это безопасно, если WebView уже в стабильном состоянии (после webView:didFinishNavigation:). До этого момента — очередь pending events, которая дренируется после load complete.

На Android аналогично через webView.evaluateJavascript(), но с проверкой, что WebView не в PAUSED состоянии (иначе JS не выполняется).

Для мини-программ в фоне — события ставятся в persistent queue и доставляются при следующем foreground. Критичные события (истёк токен сессии) — отправляются в системный notification канал хоста, который пользователь видит вне зависимости от состояния мини-программы.

Что мини-программа НЕ должна видеть?

Межпроцессный канал легко превращается в вектор атаки. Минимальный набор ограничений:

• Мини-программа не знает список других установленных мини-программ (fingerprinting)
• Прямое обращение мини-программа → мини-программа только через хост-контейнер, никогда напрямую
• Payload событий логируется (без чувствительных данных) для аудита
• Rate limiting на emit: не более 100 событий в секунду от одной мини-программы

Что входит в работу

• Аудит текущей архитектуры Super App
• Проектирование IPC-слоя (Event Bus, Data Provider, Request-Response)
• Реализация с код-ревью и юнит-тестами
• Интеграция с существующим контейнером мини-программ
• Документация API для разработчиков
• Обучение команды поддержке IPC
• Доступ к приватному репозиторию с SDK
• Техническая поддержка 3 месяца после сдачи

Процесс работы и сроки

1. Аналитика и проектирование (1–2 недели)
2. Разработка IPC-ядра (3–6 недель)
3. Интеграция с контейнером и тестирование (2–4 недели)
4. Деплой на стейджинг и QA (1–2 недели)

Сроки: от 6 до 14 недель в зависимости от сложности. Оценим проект бесплатно — свяжитесь с нами для консультации.

Архитектура мобильных приложений

Приложение собрано в одном ViewController на 2000 строк. Сетевые вызовы, бизнес-логика, обновление UI — всё в одном месте. Добавить новую фичу без регрессии сложно, написать тест невозможно. Это не «плохой код» — это отсутствие архитектуры. И это встречается чаще, чем можно ожидать, даже в production-приложениях с миллионом пользователей.

Мы проектируем архитектуру под ключ: от выбора паттерна до полной структуры проекта с тестами и документацией. За 7–10 дней получаете чистый модульный код, готовый к масштабированию.

Архитектурные паттерны в мобайле решают одну задачу: отделить UI от логики так, чтобы каждая часть была тестируемой и заменяемой.

MVVM: базовый паттерн

Model-View-ViewModel — стандарт для iOS (SwiftUI + Combine/async, UIKit + Combine) и Android (Jetpack ViewModel + StateFlow + Compose). ViewModel содержит состояние UI и бизнес-логику. View только отображает состояние и передаёт намерения пользователя в ViewModel. Model — данные и их источник.

Ключевое правило: ViewModel не знает об UIKit или Android View-классах. Нет импортов UIKit, нет Context-зависимостей (кроме Application context через Hilt). Это гарантирует тестируемость: ViewModel тестируется как чистый Kotlin/Swift-код без Android Instrumented Test.

MVVM закрывает 70% потребностей. Остальные 30% — где нужна строгая изоляция фич, масштабирование команды, сложный flow управления состоянием.

Clean Architecture: когда MVVM недостаточно

Добавляет слои поверх MVVM:

Domain-слой — бизнес-логика, независимая от платформы. UseCase (или Interactor) содержит одно бизнес-правило: GetUserOrdersUseCase, PlaceOrderUseCase. Зависит только от интерфейсов (protocol/interface), не от конкретных реализаций.

Data-слой — реализация репозиториев. OrderRepositoryImpl реализует OrderRepository из domain. Знает про Retrofit, Room, UserDefaults. ViewModel не знает, откуда данные — из сети или кеша.

Presentation-слой — ViewModel + View. Знает о Domain, не знает о Data.

Dependency rule: зависимости направлены только внутрь. Domain не зависит ни от чего. Data и Presentation зависят от Domain.

Presentation → Domain ← Data

Это даёт возможность подменять реализацию: тест использует in-memory репозиторий вместо сетевого, интерфейс остаётся тем же.

Практическая оговорка: Clean Architecture добавляет файлы и слои. Для небольшого приложения это overhead. Оправдан от ~15 фич и при команде 3+ разработчиков.

BLoC для Flutter: предсказуемый поток состояний

BLoC (Business Logic Component) — стандартный паттерн в Flutter-сообществе. Библиотека flutter_bloc реализует его через два типа: Bloc (Event → State) и Cubit (State без Events, только методы).

Bloc обрабатывает Event и эмитирует новый State через on<EventType> хендлеры. Состояние иммутабельно — новый объект на каждое изменение. BlocBuilder перерисовывает только ту часть дерева, где изменился state.

// Event
abstract class CartEvent {}
class AddItemToCart extends CartEvent {
  final String productId;
  AddItemToCart(this.productId);
}

// State
abstract class CartState {}
class CartLoaded extends CartState {
  final List<CartItem> items;
  CartLoaded(this.items);
}

// Bloc
class CartBloc extends Bloc<CartEvent, CartState> {
  CartBloc(this._cartRepository) : super(CartLoaded([])) {
    on<AddItemToCart>(_onAddItem);
  }

  Future<void> _onAddItem(AddItemToCart event, Emitter<CartState> emit) async {
    final current = state as CartLoaded;
    final updated = await _cartRepository.addItem(event.productId);
    emit(CartLoaded(updated));
  }
}

Преимущество BLoC — тестируемость. blocTest из bloc_test пакета позволяет проверить: при таком-то Event, с таким-то начальным State, BLoC должен эмитировать такой-то State. Без UI, без моков для Flutter-фреймворка.

VIPER: для крупных iOS-проектов

VIPER (View, Interactor, Presenter, Entity, Router) — наиболее строгое разделение обязанностей для iOS. Каждый компонент имеет протокол и конкретную реализацию.

• View — только UI, делегирует всё Presenter
• Interactor — бизнес-логика, работа с сетью и данными
• Presenter — посредник между View и Interactor, форматирует данные для View
• Entity — модели данных (чистые структуры)
• Router — навигация между модулями

Каждый модуль (экран или фича) — отдельный VIPER-модуль. Это исключает coupling между фичами и позволяет большим командам работать параллельно без конфликтов.

Цена: много файлов, много протоколов. Шаблонный код генерируется через Sourcery или кастомные Xcode-шаблоны. VIPER оправдан для приложений с 10+ разработчиками и 50+ экранами.

TCA (The Composable Architecture)

TCA от Point-Free — более современная альтернатива VIPER для iOS/macOS. Основные концепции: State (иммутабельное состояние фичи), Action (все возможные события), Reducer (State + Action → новый State + Effect), Store (хранит State, обрабатывает Actions).

Scope позволяет composable строить большие фичи из маленьких: родительский Reducer делегирует часть State дочернему. Каждая фича тестируется изолированно через TestStore с точным контролем над Effects.

TCA имеет крутую кривую обучения, но даёт предсказуемость, которую сложно получить другим способом: каждое изменение состояния — явный Action с конкретным источником.

Какой паттерн выбрать под вашу задачу?

Оценим проект за 1 день — подберём архитектуру с учётом размера команды, платформы и планов роста.

Универсального ответа нет. Архитектуру выбирают под размер команды, требования к тестируемости и горизонт поддержки приложения.

Что входит в нашу работу

• Аудит текущей архитектуры (если приложение уже существует) — выявим узкие места и регрессионные зоны.
• Проектирование модульной структуры с чёткими границами слоёв и правилами зависимостей.
• Создание каркаса проекта (Scaffold) с внедрением DI, организации папок и настройки линтеров.
• Написание юнит-тестов для слоя домена и ViewModel — минимум 80% покрытия ключевых use case.
• Подготовка документации — архитектурные диаграммы, README с правилами модификации кода, инструкция для онбординга новых разработчиков.
• Передача рабочего репозитория с CI-пайплайном (GitHub Actions / Bitrise), настроенным запуском тестов и статическим анализом.

Всё это входит в стоимость проектирования. Дополнительно — поддержка на этапе внедрения: консультации команды, code review первых pull request.

Что происходит без архитектуры

Типичный сценарий через 18 месяцев без архитектуры: 40% времени разработки уходит на дебаг регрессий. Новый разработчик разбирается в коде неделю перед тем, как сделать первый PR. Тесты не пишутся, «потому что сложно мокировать». Добавление новой фичи требует понимания половины кодовой базы.

Выбор архитектуры на старте — это инвестиция с возвратом через 3–6 месяцев. По нашим данным, правильно спроектированная архитектура с MVVM + Clean даёт в 3 раза меньше регрессий по сравнению с монолитным ViewController. А затраты на её внедрение окупаются за 2–3 спринта.

Согласно рекомендациям Apple по проектированию приложений, разделение ответственности — ключевой фактор устойчивости кода (https://developer.apple.com/library/archive/featuredarticles/ViewControllerPGforiPhoneOS/ImplementingaViewController.html).

Почему стоит доверить архитектуру профессионалам?

Неправильный выбор паттерна на старте ведёт к переписыванию половины кода через год. Мы видели десятки проектов, где попытка сэкономить на архитектуре оборачивалась многомесячным рефакторингом. У нас за плечами 10+ лет коммерческой разработки, опыт работы с приложениями от 1 до 50 разработчиков. Мы помогаем избежать типовых ошибок:

• Overengineering для простого MVP (назначаем MVVM, а не VIPER).
• Отсутствие dependency injection — подключаем Hilt/Koin/Dagger уже на старте.
• Игнорирование тестируемости — закладываем протоколы/интерфейсы с первого коммита.

Оценим ваш проект бесплатно — пришлите описание текущего приложения или идеи, и мы подберём оптимальную архитектуру за 1 день. Пишите в Telegram или на почту — в ответ вы получите архитектурную схему, план внедрения и смету.

Дополнительная таблица: сравнение затрат на внедрение

Время указано для команды из 2–3 разработчиков. С нашим шаблоном (generator) стартовый каркас готов за 1 день вне зависимости от выбранного паттерна.