[Android Auto] Investigate how we need to handle trusted hosts

まだ誰も着手していません。

@kmadsen commented on [Thu May 27 2021](https://github.com/mapbox/1tap-android/issues/988)

The car library has a [HostValidator](https://developer.android.com/reference/androidx/car/app/validation/HostValidator)

Which essentially makes the 1tap app a trusted host with the head unit. You can find where this is in the `MainCarAppService`. I don't fully understand either, so this ticket is to figure it out and share your findings.

``` kotlin
class MainCarAppService : CarAppService() {
override fun createHostValidator(): HostValidator {
return HostValidator.ALLOW_ALL_HOSTS_VALIDATOR
// TODO limit hosts for production
// https://github.com/mapbox/1tap-android/issues/988
// return HostValidator.Builder(this)
// .addAllowedHosts(R.array.android_auto_allow_list)
// .build()
}

override fun onCreateSession(): Session {
return MainCarSession()
}
}

```

MainCarAppService とリンクされている AndroidX HostValidator のドキュメントから始め、現在の ALLOW_ALL_HOSTS_VALIDATOR 設定とコメントアウトされている allow-list の代替案に注目してください。production で信頼できるホストをどのように扱うべきかを文書化し、調査結果と推奨事項を issue で共有してください。

索引モデルが issue の本文から書いたものです。