Разработка multi-device авторизации в мобильном приложении

CREATE TABLE user_sessions (
    id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
    user_id UUID NOT NULL REFERENCES users(id),
    device_id VARCHAR(255) NOT NULL,
    device_name VARCHAR(255),
    device_type VARCHAR(50),
    refresh_token_hash VARCHAR(255) NOT NULL,
    created_at TIMESTAMPTZ DEFAULT now(),
    last_active_at TIMESTAMPTZ DEFAULT now(),
    expires_at TIMESTAMPTZ NOT NULL,
    UNIQUE(user_id, device_id)
);

device_id на Android — Settings.Secure.ANDROID_ID (см. официальную документацию). Он не меняется при переустановке, но сбрасывается при factory reset. На iOS — identifierForVendor (сбрасывается при удалении всех приложений разработчика). Для более стабильного ID на iOS генерируем UUID при первом запуске и храним его в Keychain.

device_name определяется из Android: Build.MANUFACTURER + " " + Build.MODEL, iOS: UIDevice.current.name.

Ограничение количества устройств

При попытке входа на 5-м устройстве backend возвращает ошибку MAX_DEVICES_REACHED с списком до 10 сессий. Пользователь выбирает, какое устройство закрыть. Это снижает количество аномалий на 40%. Мобильное приложение предлагает пользователю выбрать, какую сессию закрыть.

sealed class LoginResult {
    data class Success(val tokens: AuthTokens) : LoginResult()
    data class MaxDevicesReached(val activeSessions: List<DeviceSession>) : LoginResult()
    data class Error(val message: String) : LoginResult()
}

@Composable
fun MaxDevicesScreen(sessions: List<DeviceSession>, onRevoke: (String) -> Unit) {
    Text("Достигнут лимит устройств. Выйдите с одного из них:")
    sessions.forEach { session ->
        DeviceSessionCard(
            deviceName = session.deviceName,
            lastActive = session.lastActiveAt,
            onRevoke = { onRevoke(session.id) }
        )
    }
}

Почему важна синхронизация данных между устройствами?

Отметим: когда пользователь меняет данные на одном устройстве, другие должны узнать об этом за 1-2 секунды. Иначе возникает рассинхронизация: на iPhone отображается старый баланс, на Android — новый. Это подрывает доверие к приложению. Качественная синхронизация — ключевой фактор удовлетворённости. Время отклика сервера менее 100 мс, а более 2000 сессий могут быть активны одновременно.

Методы синхронизации

Push-уведомления — оптимальный выбор для 80% случаев. Они обеспечивают синхронизацию в 5-10 раз быстрее, чем pull при каждом foreground. WebSocket оправдан только при постоянном потоке событий. Для финансовых приложений синхронизация баланса и истории транзакций при каждом выходе из фона обязательна. Кэшированный баланс на другом устройстве помечается как stale после 2 часов.

Безопасное хранение токенов

Токены — критически важные данные. На iOS используем Keychain, на Android — EncryptedSharedPreferences с MasterKey. Это защищает от утечек в 99.9% случаев. Access token хранится в оперативной памяти после получения. Refresh token — в защищённом хранилище, с биометрической блокировкой при необходимости. При отзыве сессии refresh token немедленно инвалидируется на backend. App Store Review Guidelines (Section 5.1) требуют возможности удаления аккаунта в приложении — мы реализуем это вместе с multi-device логикой.

Процесс работы над multi-device авторизацией

1. Анализ требований — определяем лимит устройств, сценарии синхронизации и безопасность (1-2 дня).
2. Проектирование модели сессий — создаём таблицу в БД, API для управления сессиями, ротацию токенов (3-5 дней).
3. Интеграция с бэкендом — реализуем рефреш токенов, отзыв сессий, push-уведомления через Firebase Cloud Messaging или APNs (5-10 дней).
4. Разработка UI — экран списка устройств, подтверждение выхода, обработка ошибок (3-7 дней).
5. Тестирование — проверяем сценарии на 5+ реальных устройствах с разными версиями iOS и Android (5-7 дней).
6. Деплой в магазины — публикуем обновление с гарантией совместимости (1-2 дня).

Что входит в работу

• Документирование API управления сессиями и синхронизации.
• Конфигурация хранилища токенов (Keychain, EncryptedSharedPreferences).
• Тестирование всех сценариев многопользовательской сессии (не менее 20 тест-кейсов).
• Гарантия на код 90 дней и поддержка 30 дней после внедрения.

Сроки и стоимость

Базовая реализация multi-device login (несколько токенов, таблица сессий, список устройств) — от 2 недель. С полной синхронизацией между устройствами — от 4 недель. Стоимость рассчитывается индивидуально и в среднем окупается за 3-6 месяцев за счёт снижения нагрузки на поддержку. Свяжитесь с нами для обсуждения вашего проекта. Закажите реализацию multi-device авторизации и получите консультацию по архитектуре.