Connectar una app Flutter a una API en producció

L’app Flutter funciona al mòbil i l’API és un servei separat que gestiona tasques com iniciar sessió o desar dades. Publicar l’app a Google Play o a l’App Store no publica aquest backend. Cal desplegar-lo en una adreça pública i provar la versió instal·lada.

Canvia localhost per l’adreça pública

localhost sempre vol dir el dispositiu que fa la petició. Al telèfon apunta al mateix telèfon, no a l’ordinador de desenvolupament. A producció, fes servir una URL HTTPS pública com https://api.exemple.com. Comprova el DNS, el certificat i la resposta de la ruta. No desactivis la validació TLS per amagar un error de certificat.

Un emulador pot necessitar una adreça específica de desenvolupament per arribar a l’ordinador amfitrió. Un mòbil físic pot necessitar una adreça accessible a la xarxa local. Mantén aquests valors separats del build de producció i comprova quina URL s’hi ha compilat realment.

Configura les peticions i valida la resposta

La recepta oficial de xarxa de Flutter mostra el paquet http. Afegeix-lo amb flutter pub add http i centralitza l’URL base. Un valor de compilació com --dart-define=API_BASE_URL=https://api.exemple.com permet triar l’endpoint públic, però el valor es pot inspeccionar dins l’app. No protegeix contrasenyes ni claus privades.

Comprova l’estat HTTP i el tipus de resposta abans de llegir el JSON. Tracta la caducitat de sessió, els errors del servidor, les dades mal formades i la manca de connexió amb missatges que permetin recuperar-se. Prova un build de release a Android i iOS: que funcioni al simulador no confirma que l’app de la botiga apunti a l’API correcta.

Guarda les claus privades al backend

El binari mòbil el pot inspeccionar qualsevol usuari. No hi incloguis contrasenyes de base de dades, tokens d’administració ni credencials de serveis. L’API ha d’autenticar cada petició i comprovar els permisos per al recurs concret. Valida les dades, limita abusos i evita guardar tokens o informació personal als logs. La guia REST de seguretat d’OWASP resumeix controls del servidor.

Les peticions d’una app Flutter nativa no segueixen les regles CORS del navegador. Una versió Flutter Web sí; abans de canviar CORS, identifica quin client fa la petició.

On executar l’API

Si l’API encaixa amb el pla actual de Projects, pot funcionar amb desplegament des de Git. Si necessita paquets del sistema, diversos serveis o control complet, un VPS dona flexibilitat i també la feina d’actualitzar, protegir i copiar el servidor. Hostbrid allotja el backend, però tu mantens la lògica de l’API, les dades i la publicació de l’app. Compara Projects i VPS per a apps mòbils.

Abans d’enviar el build, comprova que utilitza una URL HTTPS pública, que no inclou localhost ni claus privades i que has provat respostes correctes, errors d’autenticació i manca de xarxa. Compara una API pròpia amb Firebase i revisa la llista de producció de React Native si dones suport als dos frameworks.

Abans de contractar, compara on allotjar una API: Projects o VPS segons el runtime i qui n’assumirà el manteniment.