Як Robo-8 v2 планували, проєктували й збирали
Розповідь майстра про Robo-8 v2: обмеження, архітектурні рішення, напрям дизайну та те, як це перевіряли.
Почати з обмежень
Я почав не з функцій, а з чотирьох умов, яким застосунок має відповідати. Він має працювати без сервера. Будь-яке використання хмари необов’язкове й безкоштовне для проби. Ключ не повинен жити ні в APK, ні у веб-сховищі. І він має працювати на Android 6 і новіше. Усе інше могло підлаштовуватися під ці умови.
Одне припущення, яке не можна було обійти
Вихідного матеріалу для підпису v1 не було. Це важливіше, ніж здається: Android не оновить застосунок, підписаний іншим ключем. Тому v2 став окремим пакетом, що встановлюється поруч із v1. Я записав це як припущення й не став видавати за оновлення.
Архітектура: WebView і дуже маленький нативний міст
Я зважив три варіанти. Сторінка на сервері перестає працювати без мережі. Повноцінне середовище з агентним інтерфейсом тягне платний маршрутизатор і сервер, що порушує правило «лише безкоштовне». Обраний варіант пакує HTML, CSS, JavaScript і шрифти всередину застосунку та завантажує їх у WebView з джерела, що існує лише всередині застосунку, а крихітний нативний шар робить дві речі: виконує HTTPS-запит до NVIDIA й приймає ключ. Оскільки запит нативний, браузер ніколи не бачить ключа, а проблема CORS зникає.
Ключ ніколи не потрапляє на сторінку
Ключ вводиться у власному вікні Android, яке блокує знімки екрана, зберігається в пам’яті процесу на час сеансу й стирається під час відключення. WebView не може його прочитати. Запит містить лише набране вами повідомлення та фіксований промпт, з обмеженням розміру тіла, строками на з’єднання й читання та без переходу за перенаправленнями. Історії чату, яка могла б витекти, немає: вона не зберігається.
Дизайн: маленький живий предмет, а не панель
Напрям, який я записав, це грайливий прилад: телефон на столі у вечірньому світлі має здаватися маленькою живою істотою. Звідси глибока морська поверхня, блідо-м’ятні очі, один кіноварний акцент, шрифт кольору мушлі й один фірмовий прийом: асиметричні округлі очі у фізичному отворі обличчя. Space Grotesk та IBM Plex Mono вбудовано локально. Я виключив градієнти, скло, вкладені картки й декоративні цикли. Рух є лише щоб показати погляд, кліпання, дотик, думку чи дихання, а режим «Зменшити рух» вимикає фонову анімацію. Перший екран це робот; інструменти й розмова нижче.
Власне обличчя, запозичено лише принципи
Публічний опис виразів, характеру та фонової поведінки EMO був джерелом натхнення. Ні графіку, ні прошивку, ні анімацію звідти я не копіював. У двох проєктів під ліцензією MIT я взяв ідеї, а не робочий код: спосіб відображати згенеровані компоненти інтерфейсу за списком дозволених і звичку тримати ключі тимчасовими. Обидва зазначено в повідомленнях.
Безпека за побудовою там, де це вдалося
Згенеровані відповіді не можуть виконувати код. Відображення приймає лише фіксовані схеми компонентів і виводить текст через textContent, тож ворожа відповідь лишається просто текстом. Мережеві виклики мають обмеження. Приховані анімації ставляться на паузу. Ці випадки збою я перелічив до написання коду, а потім написав для них тести.
Перевірка й те, чого вона не охопила
Перевірки я планував як способи показати, що дизайн хибний: відображення за 320 і 390 пікселів, усі взаємодії без мережі, імітація хмарних помилок, перевірка підпису й маніфесту APK, встановлення й запуск. У записі значаться 11 перевірок рушія та 34 перевірки інтерфейсу в браузері, а також встановлення й запуск на емуляторі Android 6. Перший запуск на емуляторі виявив справжню помилку: вбудований WebView виявився надто старим для сучасного JavaScript, тому я перевів код під старий Chrome й додав запасні варіанти CSS, потім перевстановив і перевірив знову. Чого не перевіряли: справжній телефон, нові версії Android, поведінка батареї в різних виробників, підпис для випуску та авторизована відповідь NVIDIA, бо ключа не було. Я кажу про це й на сторінці застосунку.
Що я зробив би далі
Перевірити на справжньому пристрої, провести один авторизований хмарний сеанс із пробним ключем і вирішити, чи варто повернути камеру й мовлення з v1 за явним дозволом. До того v2 це спокійний компаньйон без мережі з необов’язковим «мозком».
Версія 3: датчики, пам’ять і те, що я не зміг перевірити
У v3 я розвинув дизайн v2, додавши органи чуття. Компаньйон тепер реагує на те, що його піднімають, трусять, крутять, нахиляють і кидають, на світло й темряву, на оплески та погладжування, пам’ятає серії днів і віхи та сам робить дрібні дії в спокої. Мікрофон за замовчуванням вимкнений, бо функція прослуховування має вмикатися за бажанням. Я також дав застосунку нейтральну назву пакета, com.jackgross.robo8, щоб ідентифікатор не містив нічого, крім самого проєкту. Під час збирання знайшлася справжня помилка: нативні події датчиків спрацьовували до завантаження JavaScript сторінки, і ранні реакції губилися. Її виправили, і тут розміщено виправлену збірку. Що перевірено, за повідомленням проєкту: встановлення й запуск на емуляторі Android 6, жива перевірка реакцій на батарею, сон за світла й темряви, положення лицем донизу, пробудження й танець у спокої, 97 перевірок рушія і 27 із 27 перевірок у браузері. Що ні: датчики, мікрофон і вібрація на справжньому телефоні та авторизована відповідь NVIDIA. Вважайте пороги датчиків недоведеними, доки не буде запуску на телефоні.