Lakr233/AssppWeb 딥다이브
— Apple ID로 App Store 앱을 셀프호스팅 서버에서 받아 iOS에 설치하는 Zero-Trust 웹앱

1프로젝트 한줄 요약

이 레포가 무엇을 하는 물건인가.

2왜 주목받는가

트렌딩 이유, 유사 도구 대비 장점.

AssppWeb이 TrendShift에서 주목받는 데는 두 가지 맥락이 있다.

첫째, Lakr233이라는 작성자의 명성이다. Lakr233은 iOS/macOS 생태계에서 Asspp(앱스토어 앱 취득 CLI), Reveil(iOS 시스템 정보 앱), Copilot for Xcode 등 다수의 인기 오픈소스 도구로 알려진 개발자다. AssppWeb은 그의 기존 CLI 도구 Asspp의 웹 기반 후속작이다.

둘째, Zero-Trust 아키텍처라는 기술적 차별성이다. 유사한 앱 취득 도구(예: ipatool, 과거의 다양한 스크립트들)는 서버나 로컬 환경에 Apple ID/비밀번호를 평문으로 전달하는 경우가 많았다. AssppWeb은 libcurl.js(WebAssembly)와 Mbed TLS를 브라우저 안에 탑재해 이 문제를 정면으로 해결한다.

유사 도구 대비 비교

3기술 스택 전체 지도

실제 package.json과 Dockerfile을 분석한 결과.

프론트엔드

백엔드

인프라 · 배포

4아키텍처 심화 분석

Zero-Trust 설계의 실제 작동 흐름.

전체 시스템 구조도

핵심 설계 패턴 1: 브라우저-사이드 Apple 프로토콜

frontend/src/apple/ 폴더가 전체 Apple 프로토콜 스택을 담는다. authenticate.ts가 로그인 흐름을, purchase.ts가 라이선스 취득을, download.ts가 CDN URL·SINF 수집을 담당한다. 이 모든 HTTP 요청은 request.ts를 통해 libcurl.js WebAssembly로 실행된다 — 브라우저 내장 fetch()가 아니다.

핵심 설계 패턴 2: Pod 기반 라우팅

Apple 인증 후 서버는 pod 헤더를 반환한다. 이후 모든 Store/Purchase API 호출은 p{pod}-buy.itunes.apple.com으로 라우팅된다. IndexedDB의 Account 객체가 pod 번호를 저장하며, storeAPIHost(pod?)·purchaseAPIHost(pod?) 함수가 동적으로 호스트를 결정한다.

핵심 설계 패턴 3: SINF 주입 프로세스

서버의 sinfInjector.ts는 IPA(ZIP) 파일을 열어 Manifest.plist에서 SINF 경로를 읽고, 브라우저에서 받은 base64 SINF 데이터를 임시 디렉토리에 쓴 뒤 시스템 zip 명령으로 IPA에 갱신한다. 경로 순회(path traversal) 공격 방어 로직도 포함되어 있다.

5디렉토리 구조 해부

실제 레포 구조를 직접 확인한 결과.

주목할 폴더: frontend/src/apple/

이 폴더가 AssppWeb의 핵심이다. Apple iTunes Store 프로토콜을 TypeScript로 완전히 재구현했으며, Swift 참조 구현(references/ApplePackage/)을 소스 오브 트루스로 삼아 CodingKeys·인증 흐름·bag 엔드포인트를 동기화한다. 웹 표준 Fetch API 대신 libcurl.js WebAssembly를 사용하기 때문에 실제 curl의 TLS 스택이 브라우저 안에서 실행된다.

6학습 포인트

이 레포에서 무엇을 배울 수 있는가.

1. WebAssembly를 실제 프로젝트에 통합하는 방법

libcurl.js 패키지는 libcurl C 라이브러리를 Emscripten으로 WebAssembly로 컴파일한 것이다. frontend/src/apple/libcurl-init.ts와 request.ts를 읽으면 브라우저에서 WASM 모듈을 초기화하고 C 함수를 JavaScript에서 호출하는 패턴을 배울 수 있다.

2. Zero-Trust 아키텍처 설계 원칙

자격증명을 서버에 절대 보내지 않는 설계는 보안 아키텍처의 교과서적 사례다. Wisp 프로토콜을 통한 맹목 TCP 중계, IndexedDB를 이용한 브라우저-사이드 비밀 저장, TLS 1.3 세션을 브라우저가 직접 관리하는 패턴 — 이 세 가지를 함께 공부하면 된다.

3. IndexedDB를 통한 영구 상태 관리

idb 라이브러리로 Apple 세션 정보(쿠키, 토큰, DSID)를 브라우저 로컬에 영구 저장하는 패턴. Zustand 인메모리 상태와 IndexedDB 영구 상태를 함께 쓰는 방식을 store/accounts.ts에서 볼 수 있다.

4. Docker 멀티스테이지 빌드

프론트엔드(Node Alpine)·백엔드(Node Alpine + python3/make/g++)·런타임 세 단계로 분리하여 최종 이미지 크기를 최소화하는 패턴. Dockerfile이 교과서적 예시다.

5. Cloudflare Workers + Containers (신기술)

wrangler.jsonc와 cloudflare/src/index.ts는 Cloudflare의 Durable Objects가 Container 인스턴스를 관리하는 새로운 배포 모델을 보여준다. 2026년 현재 비교적 새로운 기능으로, 실제 사용 사례를 탐구하기 좋다.

6. Apple 독점 프로토콜 역공학

references/ApplePackage/(Swift 참조 구현)와 TypeScript 구현을 대조하면 iTunes Store API의 비공개 프로토콜(bag.xml, pod 라우팅, SINF 형식, bplist 형식)을 학습할 수 있다. 단, 이는 역공학 결과물이며 Apple의 공식 문서가 없는 영역이다.

7시스템 요구사항 · 설치

직접 배포하는 세 가지 방법.

요구사항

방법 1: Docker Compose (가장 간단)

# compose.yml 받기
curl -O https://raw.githubusercontent.com/Lakr233/AssppWeb/main/compose.yml

# 시작 (포트 8080, /mnt/asspp-data 에 IPA 저장)
docker compose up -d

# 비밀번호 설정 (선택)
# compose.yml 환경변수에 ACCESS_PASSWORD=your_password 추가

방법 2: Cloudflare Workers + Containers (클릭 한 번)

README의 "Deploy to Cloudflare" 버튼을 클릭하면 Workers Scripts Edit + Containers Edit + Cloudchamber Edit 권한을 가진 API 토큰을 요구한다. 유료 플랜 필수.

방법 3: Railway (무료 트라이얼 가능)

# 1. railway.com/new/image 에서 이미지 입력
ghcr.io/lakr233/assppweb:latest

# 2. Settings → Healthcheck Path: /api/settings
# 3. 볼륨 마운트: /data  →  환경변수: DATA_DIR=/data
# 4. Networking → 퍼블릭 도메인 생성

환경변수 전체 목록

8직접 해볼 수 있는 실습 과제

난이도별 3~5개 과제.

9관련 기술 심화 학습 로드맵

AssppWeb을 완전히 이해하기 위한 주차별 학습 계획.

10핵심 키워드 사전

이 레포를 읽으며 만나는 핵심 개념 정리.

11참고 링크

출처 · 정리 기준일 2026-06-27 · 솔직한 한계 명시.