数据解析层与业务校验层之间怎样划分 VMP

直接答案：让解析层保持可诊断，只保护稳定且不可替代的业务裁决

数据从网络或文件进入应用后，先经过字节解码、格式解析、字段映射、规范化、输入约束、业务不变量和授权裁决。VMP 不应把这条链整体包住。格式解析和错误定位默认保持透明，适合保护的是经过规范化后的少量稳定业务判断，例如状态转换、额度组合、幂等选择和敏感动作前置条件。

分界不能按包名或类名决定。一个名为 Validator 的对象可能只检查字符串长度，一个名为 Parser 的适配器也可能偷偷选择业务状态。评审必须记录每个方法的输入、输出、副作用、失败枚举、是否依赖反射或生成代码、服务端能否最终裁决，以及规则变化频率，再按职责选择最小方法集合。

客户端保护只增加本地规则被阅读和修改的成本，不能把设备变成可信授权端。价格、权益、身份、对象归属和高风险动作必须由服务端重新验证。没有同一候选包、同一协议样本和设备回归时，文章只能给出范围方法，不能声称某个解析链已兼容或某种攻击已被阻断。

解析层的目标是确定性和可诊断，不是隐藏格式细节

解析器回答的是输入能否按某个格式解释，而不是用户是否有权执行动作。UTF-8 解码失败、JSON 语法错误、字段类型错误和枚举未知值应当产生稳定、可分类的失败；若把通用解析器整体虚拟化，异常栈、源位置和库版本兼容面都会扩大，排障信息反而更难保持。

Kotlin serialization 会根据可序列化声明生成序列化器，并依赖描述符、字段名、默认值和 Json 配置。ignoreUnknownKeys、explicitNulls、coerceInputValues 等选项都会改变接受集合。门禁应冻结真实 release 配置和样本，而不是拿开发环境的默认 Json 实例推断发布行为。

解析失败必须在任何业务副作用之前结束。不得为了提高成功率把数字解析失败默认为零、把未知枚举映射为最高权限或把缺失签名字段当成空串继续。日志只记录错误枚举、字段路径和候选版本，不能写入完整令牌、个人数据或原始请求体。

字段规范化要在签名、比较和业务校验之前固定

同一个语义值可能有多种文本表示：Unicode 组合形式、大小写、前后空白、数字指数、小数位和 JSON 属性顺序都可能不同。若签名输入、缓存键和业务校验各自规范化，客户端与服务端会对不同字节做摘要，出现误拒绝，或让等价输入绕过重复检测。

规范化函数宜保持纯函数、显式版本和有限职责。先检查原始长度与编码，再做允许的 Unicode、时间、数字或标识符规范化，输出不可变对象，随后由业务校验消费。不得在规范化阶段填充授权字段、调用网络或写数据库，否则失败类别和重试边界会混在一起。

当 JSON 参与签名或摘要时，RFC 8785 的确定性属性排序与字符串、数字序列化规则可以作为互操作依据，但它不提供认证、重放控制或业务授权。项目仍要定义协议版本、允许字段、重复请求标识和服务端重算规则，并用固定测试向量比较最终字节。

输入约束、业务不变量和授权裁决要使用不同错误类型

长度、范围、正则和枚举成员属于输入约束，它们通常公开且变化可控。库存状态、订单转换、许可证组合和离线额度属于业务不变量，可能包含更敏感的决策。主体是否拥有对象、令牌是否具备 scope、价格是否有效则属于授权，最终必须由服务端可信状态裁决。

四类结果至少应区分 FORMAT_ERROR、CONSTRAINT_ERROR、BUSINESS_REJECT 和 REMOTE_REVIEW。调用方据此决定提示、修正、停止还是向服务端提交，不能把所有失败压成 false。统一布尔值会让网络故障被当成业务拒绝，也可能让异常分支错误地改用本地默认允许。

错误对象应包含稳定 code、阶段、公开字段路径和是否可重试，不携带秘密值。外层 UI 可以把多个技术错误映射成用户能理解的提示，但遥测仍保留分类。保护前后比较的重点是 code、阶段、副作用次数和远端调用决策，而不是易受混淆影响的异常消息。

优先保护业务不变量，但先把高频变化与平台胶水剥离

业务不变量适合成为候选，是因为它把多个已解析字段组合成不可替代的决策，例如只有草稿状态可编辑、离线凭据必须同时满足类型与时间窗口、同一幂等键不能对应不同请求摘要。规则应重构为小型显式函数，输入是不可变领域对象，输出是类型化 verdict。

并非所有业务规则都值得进入 VMP。频繁受运营配置影响、依赖服务端实时数据或需要热修的规则应留在可更新的策略层，并由服务端最终裁决。把高频变化规则虚拟化会增加发布频率和兼容回归，不会自动提高边界可信度。候选应同时满足价值、稳定、可测试和失败关闭四个条件。

受保护方法不应直接持有 Activity、数据库游标、网络回调或序列化框架对象。先在外层解析和规范化，再把最小字段投影传入。方法只返回 Allow、Reject 或 RemoteReview，不负责展示提示和执行动作，使 ABI、异常和线程范围保持可控。

服务端授权必须独立存在，客户端 VMP 只做纵深防御

JWT access token 可以携带 issuer、audience、expiry、scope 和 client 标识供资源服务器验证，但客户端解析到这些字段并不等于授权已经完成。服务端还要验证签名、时间、撤销或会话状态、主体与对象关系以及动作对应的 scope，任何客户端布尔值都不能替代这一步。

长期 API Key、服务密钥和第三方高权限凭据不能编进 APK。Android 不安全 API 使用风险指南明确指出静态密钥可被逆向或拦截；正确做法是把敏感服务调用放在服务端，客户端使用短期、限权且可撤销的会话凭据。VMP 不能把硬编码秘密变成安全存储。

离线业务若必须先行，应使用明确限权、短有效期、可审计的离线授权材料，并在恢复联网后复核。失败策略不能因为网络不可达就自动允许高风险动作。文章只描述架构边界，不声称御盾已为某个项目提供服务端授权、令牌签发或离线凭据能力。

生成序列化器与反射入口保持透明，规则绑定稳定领域方法

Kotlin serialization 生成代码和描述符会随着编译器、插件、字段声明及优化变化。把生成的 serializer、descriptor 构造或 Json 编解码路径整体纳入 VMP，会把大量平台与工具链细节带进保护面。默认仅保留精确 keep 与兼容测试，让它们负责得到领域输入。

Kotlin 反射依赖运行时可发现的类、成员、注解和元数据。若框架按名称或签名寻找构造器、属性或适配器，混淆与方法变换都可能影响结果。评审要从最终 APK 枚举反射入口，记录 mapping 后身份和调用样本；不能因为源码注解存在就假设候选中仍可发现。

业务校验器应通过普通显式接口接收已规范化对象，避免由反射扫描自动注册。若必须反射调用，先用精确规则固定入口，并把反射查找、错误类型和业务 verdict 分开测试。保护清单绑定领域方法的最终 owner、name、descriptor，不使用整个 parser 包的通配。

用类型化结果演示解析、约束、业务拒绝和远端复核

下面的 Kotlin 示例接收公开的 JSON 文本，只演示四层结果，不包含令牌、客户字段或真实接口。Json.parseToJsonElement 负责语法解析，字段读取与长度范围负责约束，状态组合负责业务拒绝，需要主体和对象关系确认时返回 RemoteReview。任何格式或约束错误都不会执行后续动作。

示例故意不在客户端批准最终授权。即使本地状态满足，也只生成包含公开字段的 RemoteReview 请求摘要，由调用方交给服务端。未知字段是否接受、金额精度和状态枚举都应由协议版本规定；代码中的限制只是示例，不应复制为某个真实业务策略。

门禁至少用空输入、非法 JSON、错误类型、超长标识、负数、未知状态、禁止状态和正常待复核八类样本。保护前后比较 Result 类型、code、字段路径和是否产生 RemoteReview；只比较 UI 文案或函数返回不崩溃，无法证明分层语义没有改变。

import kotlinx.serialization.json.Json
import kotlinx.serialization.json.JsonObject
import kotlinx.serialization.json.doubleOrNull
import kotlinx.serialization.json.jsonPrimitive

sealed interface CheckResult {
    data class FormatError(val code: String) : CheckResult
    data class ConstraintError(val field: String, val code: String) : CheckResult
    data class BusinessReject(val code: String) : CheckResult
    data class RemoteReview(val request: ReviewRequest) : CheckResult
}

data class ReviewRequest(
    val orderId: String,
    val amountMinor: Long,
    val expectedState: String
)

private val json = Json {
    ignoreUnknownKeys = false
    isLenient = false
}

fun classify(raw: String): CheckResult {\n    if (raw.length > 65_536) {\n        error("input exceeds 65536 characters")\n    }
    if (raw.isBlank()) {
        return CheckResult.FormatError("EMPTY_INPUT")
    }
    val root = try {
        json.parseToJsonElement(raw)
    } catch (_: Exception) {
        return CheckResult.FormatError("INVALID_JSON")
    }
    val obj = root as? JsonObject
        ?: return CheckResult.FormatError("ROOT_NOT_OBJECT")
    val orderId = obj["orderId"]?.jsonPrimitive?.content
        ?: return CheckResult.ConstraintError("orderId", "MISSING")
    if (orderId.length !in 8..64) {
        return CheckResult.ConstraintError("orderId", "LENGTH")
    }
    if (!orderId.all { it.isLetterOrDigit() || it == '-' }) {
        return CheckResult.ConstraintError("orderId", "CHARACTER_SET")
    }
    val amount = obj["amountMinor"]?.jsonPrimitive?.doubleOrNull
        ?: return CheckResult.ConstraintError("amountMinor", "TYPE")
    if (!amount.isFinite() || amount < 0.0 || amount > 10_000_000.0) {
        return CheckResult.ConstraintError("amountMinor", "RANGE")
    }
    if (amount % 1.0 != 0.0) {
        return CheckResult.ConstraintError("amountMinor", "NOT_INTEGER")
    }
    val state = obj["state"]?.jsonPrimitive?.content
        ?: return CheckResult.ConstraintError("state", "MISSING")
    val supported = setOf("DRAFT", "LOCKED", "CANCELLED")
    if (state !in supported) {
        return CheckResult.ConstraintError("state", "UNKNOWN_ENUM")
    }
    if (state == "CANCELLED") {
        return CheckResult.BusinessReject("ORDER_CANCELLED")
    }
    if (state == "LOCKED" && amount > 0.0) {
        return CheckResult.BusinessReject("LOCKED_ORDER_CANNOT_CHANGE")
    }
    return CheckResult.RemoteReview(
        ReviewRequest(
            orderId = orderId,
            amountMinor = amount.toLong(),
            expectedState = state
        )
    )
}

发布门禁绑定候选哈希、协议样本和设备回归

发布前先冻结协议版本、release 候选哈希、序列化配置、mapping、VMP 方法清单和测试向量。静态检查确认解析器与生成代码不在宽泛保护范围，业务方法命中数量符合评审，所有远端授权动作仍指向服务端。任何依赖、编译器或字段变化都让旧回执失效。

自动测试逐层断言格式、约束、业务拒绝和远端复核，设备测试再覆盖反射、混淆、线程、进程重启和真实 Android API。对失败关闭路径要验证没有写库、发起受保护动作或泄露原始输入。单一设备通过不代表全部 API、ABI 和厂商矩阵，报告必须写明覆盖边界。

可先阅读本站的第三方 SDK 回调边界说明，避免把解析责任误并入框架回调；需要评审具体 App 的保护范围时，使用御盾中央平台提交候选、协议边界和回归要求。提交前应移除密钥与客户数据，只提供可审计样本和构建标识。

• 冻结协议、候选、配置、mapping 与规则摘要。
• 用异常输入确认解析失败先于业务副作用。
• 比较保护前后四类结果和远端调用决策。
• 确认长期密钥不进入 APK、日志或公开样本。
• 按真实反射入口与设备矩阵执行回归。
• 任何输入或候选变化后重新生成回执。
• 内链：/zh-cn/articles/third-party-sdk-callback-vmp-boundary/
• 行动入口：https://www.leonadev.com/console/