iOS工程师创业手记：从安全技术到稳定盈利

　　去年十二月，我蹲在他们公司茶水间修那台连不上MDM的iPhone SE——就那个后壳掉漆、充电口松得能晃出回声的灰蓝色版本。空调外机在窗外哐哐响，像块生锈铁皮被风推着刮水泥墙。张磊叼着根没点的烟，在旁边剥橘子，一瓣一瓣往玻璃缸里扔，汁水溅到MacBook Touch Bar上他也没擦。

　　我原以为是profile签名链坏了，结果扒开证书吊销列表发现是苹果悄悄更新了ATS默认策略，把某家国产SSL厂商的中间证书踢出了信任根。这事儿他们iOS组压根没收到邮件，运维还在用去年Q3的部署脚本。我当场导出log发给他们CTO，他秒回“先切回HTTP”，我手抖删了半个回复框，最后只敲了个“……你真敢”。

　　后来才知道，那家SSL厂去年八月就被收购了，收购方三个月后把老团队全裁了，连OCSP响应器都关了两台——没人告诉iOS端。我们替他们兜底，还被说“太激进”，说“用户不care证书链是不是完整”。可你知道现在多少App启动时静默触发三次NSURLConnection重试吗？不是为了容错，是为等那个302跳转完才敢送token。这算哪门子安全？这叫带伤上场。

　　刘薇当时在会议室跟投资人对账，穿那件领口磨出毛边的灰西装，手机屏一直亮着，是微信里一条没发出去的语音：“我说了三遍，push token必须绑定设备ID+时间戳+nonce，他们非要用UUID硬编码……”她说到一半把语音撤回，改成打字，手指悬在键盘上停了十八秒。我记清了，因为窗台上那只绿萝的叶子刚好掉了一片，落进她咖啡杯沿的豁口里。

　　优胜劣汰不是结果，是动作本身。你见过几个创业公司把Keychain Group设成随机字符串再埋个runtime hook防dump？没有。他们连SecItemAdd的status返回码都不全处理。可他们活下来了，靠的是比别人多熬过两个崩溃周期——AppStore审核拒了三次，第三次改完上线当天凌晨四点服务器挂了，但用户没走光，因为退款入口藏得深，客服话术背得熟，而竞品那天正好被曝出热更新漏洞，被下架四十八小时。这事我没亲眼见，但李峰确认过，他当时正给那家竞品做渗透，说对方测试环境居然开着Wi-Fi Direct调试桥接。他说的时候搓了一下左手小指关节，那里有道浅疤，三年前在阿里云攻防演练时被误触发的物理隔离闸刀划的。

　　所以别扯什么“技术护城河”。上周五我去参加那个所谓“iOS安全创业者闭门会”，主持人让每人说一句最值钱的经验。轮到我，我说：“别信你写的encrypt方法——它90%时间根本没被调用。”全场安静了七秒。后排有个穿牛仔外套的男生笑了，起身倒水时碰翻了桌上的酸梅汤，塑料杯歪着淌了半分钟，没人擦。后来他跟我说，他App里所有AES密钥都是从config.plist明文读的，就为了热更新方便。“用户投诉密码输错三次才弹重置页？”他耸肩，“他们不知道那是我在后台手动sleep了1.2秒——怕触发风控。” 我没接话。我喝了一口凉透的咖啡，杯底浮着三粒没融开的方糖。

　　有人问我：你们搞安全的，不也得靠App上线才能收费？是啊。可上不上线，不是你说了算，是ASO算法、是TestFlight审核队列、是那个凌晨三点给你发“请检查隐私清单”的Apple Review Bot。去年冬天我帮一个做老年社交的团队加固WKWebView，他们CEO盯着我改完`- (void)webView:(WKWebView )webView decidePolicyForNavigationAction:(WKNavigationAction )navigationAction decisionHandler:(void (^)(WKNavigationActionPolicy))decisionHandler`那段，忽然问：“如果我把这段注释掉，能快多少？”我答：“大概快十七毫秒。” 他点头，当场commit了。三天后他们日活涨了百分之四，来源是安卓端引流过来的中老年用户——他们根本不用WebKit。这个我敢打包票。

　　桌上那份外卖是黄焖鸡米饭，已经冷透了，汤凝成淡黄色胶状，盖饭底下压着张纸巾，印着模糊的“永和豆浆·望京西”。我拿筷子戳了两下，米粒粘在一起扯不断。这让我想起前年在某个银行外包项目里，他们生产环境Keychain里的accessibility属性设的是kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly，可实际跑的是一台越狱过的iPad Air2，管理员账号密码就写在便签纸上，贴在设备后盖内侧。我拍照发给对接人，他回：“知道，但我们测试机都这样。” 我问：“那上线呢？” 他过了三分钟，回：“上线？哪个上线？”

文章配图，仅供参考

　　我现在手边有份文档草稿，标题写着《iOS端零信任落地实操（2025试行版）》，第一页被我划掉，改成“先让push token失效时间比用户忘记密码快”。下周一约了钉钉会议，主讲人是个刚毕业两年的实习生，PPT第三页写着“基于Swift Concurrency的实时证书校验流水线”。我不知道他讲不讲得完，也不确定会不会被中途打断——隔壁工位王胖子刚接到电话，说是他老家拆迁款到账了，八十万，现金支票。他一边听电话一边在本子上画了个歪歪扭扭的iOS图标，图里没画Home键，也没画Face ID凹槽，就一个圆圈，中间点了三个点。

　　要我说，明年这时候，你再看这群人，一半还在改plist，一半已经改行卖SaaS插件了。至于剩下那批咬死要搞“真正安全”的……

　　算了。我先把这杯冷咖啡喝完。

（编辑：我爱制作网_沈阳站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!