Đánh giá Expo

Gói & bảng giá

Giá được xác minh lần cuối 11 thg 11, 2026

Giới hạn gói miễn phí

Gói Free có tối đa 15 bản build Android, 15 bản build iOS, 1.000 người dùng hoạt động hằng tháng cho bản cập nhật và 60 phút CI/CD. Bộ SDK và công cụ Expo mã nguồn mở (giấy phép MIT) dùng miễn phí.

Dùng thử

Không có dùng thử

Ứng dụng thay thế Expo

7,7/10

Xcode

IDE miễn phí, chính thức của Apple, công cụ mặc định để làm app cho các nền tảng Apple

Miễn phí

7,6/10

Android Studio

IDE chính thức của Google để làm app Android, dựng trên nền IntelliJ

Miễn phí

Tranh cãi & sự cố

Các vụ việc được báo chí, cơ quan quản lý, tòa án hoặc chính hãng ghi nhận. Mỗi mục đều có nguồn; cáo buộc chưa được xác minh được ghi rõ là cáo buộc. Rà soát lần cuối: 11 thg 11, 2026

• Ảnh hưởng vừaĐã xử lýBảo mật · 1 thg 4, 2024

  Lỗ hổng chèn lệnh và chung máy ảo trong EAS Submit (iOS)

  Theo thông báo của Expo (2/4/2024), một số trường trong khóa App Store Connect API có thể dùng để chèn lệnh shell qua Fastlane. Expo cho biết không thấy dấu hiệu bị khai thác và đã vá.

  Xem đầy đủ

  Expo nhận báo cáo ngày 24/1/2024 từ Xavier Bruni (Deribit). Theo Expo, Fastlane không thoát ký tự (escape) ở một số đầu vào khi tải app iOS lên, và các tác vụ submit chạy chung một máy ảo, nên một tác vụ chạy lệnh tùy ý có thể đọc dữ liệu của tác vụ khác; dữ liệu nhạy cảm nhất có nguy cơ lộ là khóa ASC API. Expo tắt dịch vụ, tung bản vá trong khoảng nửa giờ, rồi ngày 22/2 sửa tận gốc bằng cách cho mỗi tác vụ chạy trên một máy ảo riêng, dùng xong thì hủy. Expo đánh giá khả năng bị khai thác rất thấp nhưng nói không thể loại trừ hoàn toàn với giai đoạn trước thời hạn lưu log, và khuyên người dùng thu hồi rồi tạo lại khóa ASC API.

  Phản hồi của hãng

  Expo công bố thông báo bảo mật, cảm ơn người báo cáo và khuyên thu hồi khóa ASC API cũ.

  Nguồn:Expo blog: security notice for EAS Submit

• Ảnh hưởng vừaĐã xử lýBảo mật · 1 thg 5, 2023

  Lỗ hổng OAuth CVE-2023-28131 ở AuthSession Proxy

  Theo Salt Labs, lỗi ở auth.expo.io có thể đẩy token OAuth của nạn nhân về tên miền do kẻ tấn công kiểm soát. Salt cho biết Expo vá ngay trong ngày nhận báo cáo, sau đó ngừng dịch vụ này.

  Xem đầy đủ

  Salt Labs công bố ngày 24/5/2023, mô tả lỗi ở tham số returnUrl của AuthSession Proxy (dùng qua thư viện expo-auth-session): theo Salt, một đoạn script có thể vượt qua màn hình xác nhận để chiếm tài khoản, và Salt lấy Codecademy làm ví dụ minh họa. Salt báo cho Expo ngày 18/2/2023 và Expo vá ngay trong ngày; ngày 26/2, Expo ngừng dịch vụ và đăng khuyến cáo; mã CVE được công bố ngày 24/4/2023.

  Phản hồi của hãng

  Theo Salt Labs, Expo vá ngay trong ngày, ngừng dịch vụ auth.expo.io và khuyên khách hàng cập nhật.

  Nguồn:Salt Labs: OAuth vulnerability that may impact hundreds of online services