AssppWeb：零信任架构的 iOS 应用获取工具

本文介绍 AssppWeb，一个开源的 Web 端 iOS 应用获取与安装工具，3.8k stars。采用零信任架构，通过 WebAssembly 在浏览器内直接与 Apple API 通信，服务器只做盲中继，你的 Apple 凭证永远不会暴露。

AssppWeb 界面预览

项目简介

AssppWeb 是一个开源的 Web 端工具，用于在 App Store 之外获取和安装 iOS 应用。你可以用 Apple ID 登录、搜索应用、获取授权、并直接将 IPA 安装到设备上。截至目前，该项目在 GitHub 上已获得 3.8k stars、592 forks，由 Lakr233 开发维护，主要使用 TypeScript 编写。

零信任架构

AssppWeb 最核心的设计是零信任——服务器永远不会看到你的 Apple 凭证。

工作原理：

WebAssembly 加密通信：所有 Apple API 通信直接在你的浏览器中完成，使用 libcurl.js + Mbed TLS 1.3 进行加密
服务器只是盲中继：后端仅作为 TCP relay（Wisp 协议），转发加密流量，无法解密任何内容
IPA 编译：服务器只负责从公开 CDN 下载并编译 IPA 文件，不涉及凭证

这意味着即使服务器管理员也无法获取你的 Apple ID 和密码。

⚠️ 安全警告：目前没有官方的 AssppWeb 公共实例。使用任何公共实例都需自行承担风险。虽然后端无法读取加密流量，但恶意托管者可能提供被篡改的前端页面，在加密前截获你的凭证。强烈建议自建实例或使用可信来源的实例，并始终验证 SSL 证书。

核心功能

Apple ID 认证：直接在浏览器中安全登录你的 Apple 账号
应用搜索：搜索 App Store 中的应用
授权获取：为应用获取购买/下载授权
IPA 安装：直接将 IPA 文件安装到你的 iOS 设备
区域筛选：按地区搜索和筛选账号
访问密码保护：支持为你的实例设置访问密码（可选）

部署方式

方式一：Cloudflare 部署

使用 Cloudflare Workers + Containers，基于官方镜像 ghcr.io/lakr233/assppweb:latest。

前置要求：

Cloudflare Workers 付费计划（Containers 功能在免费计划上不可用）
部署/构建 Token 需包含以下权限：
- Workers Scripts Edit
- Containers Edit
- Cloudchamber Edit

如果构建日志在「Deploy a container application」步骤报 Unauthorized，说明你的 Token 缺少 Containers/Cloudchamber 权限。

方式二：Docker Compose 自建

适合本地或自有服务器部署，详见仓库的 compose.yml。

方式三：Railway 部署

项目也支持 Railway 平台一键部署。

安全建议

DDoS 防护

IPA 文件可能高达数百 MB。如果你的实例公开可访问，建议放在 CDN（如 Cloudflare）后面，以吸收带宽并防止滥用。

自建优先

出于安全考虑，强烈建议自建实例而非使用公共实例。公共实例的前端可能被篡改，存在凭证泄露风险。

致谢

项目大量参考和使用以下项目：

项目链接

GitHub 仓库：https://github.com/Lakr233/AssppWeb
Docker 镜像：ghcr.io/lakr233/assppweb:latest
License：MIT