Application 与 ContentProvider 适合进入 VMP 吗：按启动边界选方法

先把启动类拆成编排层与敏感叶子层

Application 和 ContentProvider 经常承载初始化入口，但类中代码的责任并不相同。创建依赖容器、注册生命周期、读取配置、连接服务属于编排；许可证判断、离线规则或专有算法可能属于敏感叶子。整类进入 VMP 会把高频启动胶水和真正需要保护的逻辑绑定在一起，任何异常都可能放大到进程启动。

适合评估的叶子方法应有明确输入输出，不负责组件注册，不持有跨进程或文件锁，不直接执行网络和磁盘 I/O，也不依赖复杂反射初始化。它可以由启动入口调用，但保护配置只命中叶子方法。这样既能提高核心代码的分析成本，又能保留启动编排的可读堆栈和回滚能力。

不适合直接强保护的对象包括 Application.onCreate 的整体、ContentProvider.onCreate 的整体、依赖注入图构建、类加载桥接和错误恢复入口。工程判断是先保持这些方法短小，再把敏感计算下沉到独立模块。本文没有具体项目候选和设备数据，因此只提供选型方法，不声称任何配置已通过。

从 Manifest 建立启动组件静态清单

Android app manifest 说明 Manifest 定义组件、权限、intent filter、SDK 约束和应用元数据。启动边界审阅应先解析 application 类、provider、authorities、process、exported、permission、initOrder 和相关 meta-data，再连接到源码入口与编译后符号。手工凭印象列组件容易漏掉库合并进来的 provider。

静态清单要记录来源。Manifest merger 可能把三方库、构建变体和主应用声明合并，最终 APK 中的清单才是设备读取对象。项目应保存最终候选摘要、解析工具版本和组件表，并标明组件来自本项目还是依赖。源码 Manifest 与最终清单不一致时，保护范围必须以候选产物重新核对。

Manifest 只能提供声明，不证明运行时顺序或访问控制没有被代码放宽。provider 的初始化提示、进程属性和组件声明可以用于生成检查顺序，但真实调用仍受系统、依赖和设备状态影响。工程判断是把静态结果标为 sequenceHint，再通过日志与 device test 证实，不能把排序表写成运行事实。

导出 Provider 先处理访问面，再讨论保护强度

Android exported component risk 指出导出组件和 intent filter 会扩大跨应用调用面，需要显式权限和输入校验。ContentProvider 若能被外部应用访问，首要问题是调用者授权、URI 边界、参数验证和数据最小暴露。VMP 不能替代这些服务边界，也不能把 exported 配置错误变成可接受设计。

exported 只是入口条件之一。即使组件不导出，应用内部其他组件也可能把不可信数据转发给 provider；即使声明权限，业务代码仍要按资源和操作校验。静态审阅应记录 exported、readPermission、writePermission、grantUriPermissions 和 intent filter，再在真实调用路径上验证拒绝行为。

若 provider 内包含敏感叶子逻辑，先把外部接口与核心实现分离。接口层负责调用者、URI、参数和异常语义，保持可诊断；核心层只接受规范化输入并返回明确结果，才进入 VMP 候选。这样保护配置不会遮蔽入口权限问题，设备测试也能分别判断授权失败与受保护计算失败。

启动测量要区分 TTID、TTFD 与冷启动条件

Android app startup time 区分 TTID 与 TTFD，并要求理解启动状态和测量条件。TTID 关注首帧显示，TTFD 关注应用报告完全可用。Application 或 ContentProvider 上的额外工作可能影响其中一项或两项，但只有在相同设备、候选身份、启动类型和数据状态下对照，才能讨论差异。

单次启动耗时不能代表分位数，也不能证明某项变化由 VMP 引起。缓存、编译状态、进程是否存活、磁盘和后台负载都会改变结果。工程判断是先建立未保护基线，再用同一候选配置变更做成对测量，同时记录每个启动组件的开始、结束和线程，不公布没有项目证据的统一性能数字。

保护范围调整应看阶段责任。若 TTID 变化集中在首帧前，检查 provider、Application 和首屏依赖；若 TTFD 变化但 TTID 稳定，检查延迟初始化和完整可用信号。测量用于定位，不自动决定取消保护。敏感叶子仍可保留，但需要移动调用时机、减少频率或采用缓存等工程处理。

主线程、锁、Binder 与 I/O 是高风险组合

Diagnose Android ANRs 建议按主线程阻塞、锁竞争、Binder、I/O 和组件超时分层定位。启动组件本就处于高敏感时序，若受保护逻辑同时执行磁盘读取、等待锁或跨进程调用，堆栈和耗时更难解释。选型时应把这些副作用列为排除或重构信号，而不是只根据方法长度判断。

trace 中的表象堆栈不一定是最初阻塞源。主线程可能停在受保护方法中等待另一个线程，而真正问题是持锁线程的 I/O；也可能停在 Binder 调用，根因在远端服务。工程判断是保留线程、锁、Binder 和 I/O 的原始证据，再调整保护边界。仅凭堆栈出现 VMP 方法就认定加固是根因并不严谨。

适合保护的启动叶子最好无阻塞、无全局锁、无组件生命周期操作，并能在失败时返回受控错误。若必须访问外部状态，可把读取和规范化放在编排层，叶子只处理不可变输入。这样既减少主线程不确定性，也便于用单元和设备测试对照保护前后的业务语义。

ApplicationExitInfo 用于补足退出与 ANR 证据

Android ApplicationExitInfo 可以提供进程退出原因、ANR trace，并在新版本返回 Native tombstone。启动后立即退出、无明显 Java 异常或发生 ANR 时，这些记录能补充崩溃平台和应用日志。审阅者应保存 reason、timestamp、processName、description 与可用 trace，再关联候选摘要。

退出记录必须与同一版本、时间窗和用户路径对应。设备上可能保留多个历史进程记录，多进程应用也可能由非主进程退出。只看到一条历史 ANR 就归因当前保护配置，会产生错配。工程判断是让测试动作写入运行标识，并在失败后按进程、时间与版本筛选 ApplicationExitInfo。

可观测性本身也影响选型。若某段启动代码在保护后完全失去阶段日志、错误码或可恢复路径，故障处理成本会上升。公开日志不能泄露敏感算法和用户数据，但可以保留组件、阶段、候选版本和结果分类。VMP 目标是提高核心代码分析成本，不应取消基本的发布诊断能力。

• 退出记录绑定 APK 摘要与版本
• 按 processName 区分主进程和辅助进程
• 按测试时间窗筛选历史记录
• 保存 reason、description 与可用 trace
• 敏感输入和算法细节不写入日志
• 失败阶段仍有稳定错误分类

设备端测试要覆盖组件创建、拒绝路径与业务语义

Android instrumented tests 适合验证依赖真实 Android 运行时、组件和系统 API 的行为。启动保护选型至少覆盖冷启动、进程重建、provider 直接访问、导出入口拒绝、多进程初始化和关键叶子输入输出。测试从最终候选安装开始，不能用 JVM 单测代替组件生命周期。

保护前后对照应使用同一业务输入和设备条件。断言不仅包含“没有崩溃”，还要检查 Application 状态、provider 返回、权限拒绝、数据事务和首屏可用信号。若叶子方法有异常分支，要验证编排层能记录并降级，而不是让启动无限等待或直接终止进程。

单一设备通过不能代表完整 API、ABI 与厂商矩阵。设备集合应围绕最低支持系统、主要 ABI、多进程差异和业务关键机型选择。本文只处理保护选型，不承担完整启动顺序回归验收；真实项目仍需用同一候选在目标矩阵上形成可复核结果。

用只读脚本生成启动组件候选表

下面的 Python 示例解析最终 AndroidManifest.xml，并读取一份公开安全的选型策略。脚本列出 Application 与 provider 的 name、process、exported、permission、authorities 和 initOrder，根据策略中的 sensitiveLeafComponents 与 sideEffectComponents 输出人工复核建议。它不会修改 Manifest，也不会声称静态顺序就是运行事实。

策略只保存组件名和工程标签，不包含核心算法、客户包名或内部路径。side-effect 组件输出 keep-orchestrator-observable，敏感叶子组件输出 review-leaf-methods，其他组件保持 inventory-only。实际 VMP 命中仍需连接到编译后方法清单，并由候选包扫描与设备测试确认。

准备 Application 与 ContentProvider 的软件加固评估时，可整理最终 APK、合并 Manifest、启动组件表、敏感叶子清单、启动测量、ANR 与退出证据、设备回归范围，再通过御盾中央平台提交申请。没有同一候选证据时，不声明性能、兼容通过或攻击阻断。

• 输入使用最终合并 Manifest
• 组件来源和 APK 摘要另行保存
• 静态 sequenceHint 不冒充运行顺序
• 副作用组件保持编排可观测
• 敏感组件只评估叶子方法
• 最终范围由设备证据确认

from pathlib import Path
import json
import sys
import xml.etree.ElementTree as ET

if len(sys.argv) != 3:
    raise SystemExit(2)
manifest_path = Path(sys.argv[1])
policy_path = Path(sys.argv[2])
if not manifest_path.is_file() or not policy_path.is_file():
    raise SystemExit(2)
policy = json.loads(policy_path.read_text(encoding="utf-8"))
sensitive = set(policy.get("sensitiveLeafComponents", []))
side_effects = set(policy.get("sideEffectComponents", []))
if not sensitive and not side_effects:
    raise SystemExit(2)
android = "{http://schemas.android.com/apk/res/android}"
root = ET.parse(manifest_path).getroot()
application = root.find("application")
if application is None:
    raise SystemExit(2)
records = []
application_name = application.get(android + "name", "android.app.Application")
records.append({"kind": "application", "name": application_name, "process": application.get(android + "process", "main"), "sequenceHint": "application-entry"})
providers = []
for provider in application.findall("provider"):
    name = provider.get(android + "name", "")
    if not name:
        raise SystemExit(2)
    init_order = int(provider.get(android + "initOrder", "0"))
    providers.append({"kind": "provider", "name": name, "process": provider.get(android + "process", "main"), "exported": provider.get(android + "exported", "unspecified"), "permission": provider.get(android + "permission", ""), "authorities": provider.get(android + "authorities", ""), "initOrder": init_order, "sequenceHint": "provider-order-review"})
records = sorted(providers, key=lambda item: (-item["initOrder"], item["name"])) + records
for record in records:
    if record["name"] in side_effects:
        record["recommendation"] = "keep-orchestrator-observable"
    elif record["name"] in sensitive:
        record["recommendation"] = "review-leaf-methods"
    else:
        record["recommendation"] = "inventory-only"
print(json.dumps({"status": "static-review-only", "components": records}, ensure_ascii=False, indent=2))