VMP 加固前怎样建立核心函数回归契约：输入、输出与副作用

先为单个核心函数定义可判定的业务契约

VMP 会改变方法的执行载体和调试形态，但业务方真正关心的是函数语义是否保持。若加固前没有明确契约，团队只能在加固后凭页面是否打开、是否崩溃来判断，细微的错误码、舍入、状态更新或异常变化容易漏掉。契约应以 assetId、方法签名和业务责任为起点。

一个可执行契约至少描述前置状态、输入 schema、测试向量、规范输出、异常、允许副作用、线程条件、资源边界和证据位置。每条用例有稳定 caseId，并引用基线 APK 摘要与保护候选摘要。这样失败能定位到具体输入和语义，而不是把全部问题归为“VMP 不兼容”。

契约不能由实现代码自动复制，因为这样会把当前缺陷固化成预期。业务负责人定义可接受语义，研发提供实现细节，测试负责人把它转换为断言，安全与发布人员确认候选身份。工程判断是让高价值函数优先建立契约，而不是追求所有工具方法都拥有同样深度。

输入向量要覆盖边界，不要只保存理想样例

核心函数常在正常输入下表现一致，却在空值、极限长度、编码、状态缺失或并发条件下暴露差异。契约应从输入字段类型、允许域和业务状态推导 case，至少区分有效、边界、无效和依赖状态变化。本文不提供固定用例数量，复杂度应由函数风险和输入空间决定。

测试数据需要可重现。公开安全样例可以直接版本化，涉及客户、账号或专有模型的数据应保存脱敏生成器、内容摘要和受控引用，不能把真实敏感数据放进代码仓库。随机测试必须记录 seed 和生成器版本，否则基线与保护候选可能运行了不同输入而无法比较。

输入序列也可能属于契约。单次纯函数调用与多步状态机不同，授权、缓存、计数器或加密会话可能依赖前序动作。工程判断是把 stateSetup 和 callSequence 明确写入 case，并在每次执行前重置到已知状态。只记录最终请求会遗漏导致结果的历史条件。

输出比较要先定义规范化与等价关系

返回对象可能包含时间戳、随机 ID、无序集合、浮点值或设备信息，直接做字符串比较会产生噪声。契约应列出哪些字段必须完全相同，哪些字段按业务规则规范化，哪些字段只验证格式和关联关系。规范化函数本身需要版本化和测试，不能在失败后临时修改以迎合候选。

业务等价不等于字节相等。序列化字段顺序变化可能不影响业务，金额舍入、权限决策或签名输入变化则可能非常关键。产品与研发应为每个输出字段声明 comparator 类型，例如 exact、ordered-set、format、relation 或 project-tolerance，并写清原因。项目容差不能外推成通用 VMP 结论。

输出摘要适合归档大结果，但必须保留规范化算法和原始结果的受控引用。只保存 SHA-256 能确认结果是否与某次执行相同，却无法解释哪个字段变化。工程判断是门禁先给出字段级差异，再用摘要绑定完整记录。公开报告只展示安全字段，不泄露核心算法输入输出。

异常、副作用和线程条件也是函数语义

很多回归只比较成功返回值，却忽略失败行为。VMP 前后若异常类型、错误码、抛出时机或包装层次变化，上层可能走入不同恢复路径。契约要为预期失败输入记录 exceptionClass、errorCode、messageCategory 和状态结果，并区分业务拒绝与系统故障。错误消息全文通常不适合作稳定断言。

副作用包括数据库写入、文件变化、缓存更新、计数器、网络请求和审计事件。契约应列出允许新增、必须保持和明确禁止的副作用，并在调用前后读取受控状态。事务失败时要检查是否回滚，而不是看到异常就结束。对于外部服务，使用可复现测试环境或记录请求契约，不发送真实客户数据。

线程和重入条件也可能改变语义。某些核心函数要求主线程，另一些必须离开主线程；并发调用可能要求幂等或串行。工程判断是把 dispatcher、thread expectation、timeout ownership 和 reentrancy 写入契约，但不在文章中给出通用超时数字。实际边界应由业务频率、设备和恢复能力决定。

依赖 Android 的语义要放到设备端验证

Android instrumented tests 说明设备或模拟器上的测试可以访问真实 Android 框架能力。核心函数若依赖 Context、Keystore、Binder、SQLite、文件权限、组件或系统 API，JVM 测试只能覆盖部分逻辑。契约应标记 executionClass，把纯逻辑留在快速测试，把平台语义放进 instrumented test。

设备测试必须安装精确候选，并记录 APK、VMP 配置和测试包摘要。测试运行前建立前置状态，运行后收集断言、日志分类和系统信息。若测试 APK 与应用 APK 使用不同 build variant 或依赖版本，结果不能直接作为发布候选证据。测试通过只覆盖声明的 case 和设备。

单一设备不能代表全部 API、ABI 与厂商矩阵。本文只建立核心函数契约，不替代整机兼容矩阵、冷启动测量或异常专项。项目应根据最低系统、主要 ABI、硬件能力和用户分布分配契约用例；未执行的组合明确标记未验证，不用一个绿色总状态遮盖。

性能边界要用可重复基准，不预设加固结论

Android Macrobenchmark 适合在独立测试进程和可重复设备条件下比较启动或关键路径，并记录迭代。核心函数性能契约应先说明调用频率、用户路径和资源预算，再选择微观计时或端到端基准。基线和保护候选要在同一设备状态、构建身份和测试流程下运行。

基准框架不会提供加固前后的预设结论。缓存、编译模式、温度、后台负载和数据规模都会影响结果。文章不提供统一百分比或毫秒阈值；项目应根据业务后果、调用频率和设备分布定义 performanceBoundaryRef，并保留原始迭代数据，而不是只保存平均值。

性能失败需要定位而不是自动取消保护。方法可能调用过于频繁、输入过大、被放在启动主路径或包含外部 I/O。工程判断是先分解调用次数、函数时间和端到端时间，再选择减少频率、移动时机、缓存或缩小保护范围。任何优化都要重新绑定候选并重复语义契约。

R8、retrace 与证据身份必须一起保存

Enable app optimization with R8 说明 R8 会执行缩减、优化和名称混淆，并需要保留规则与输出。VMP 契约中的源码方法可能在最终候选中被内联、重命名或裁剪，因此测试记录要保存 R8 规则、mapping 摘要、VMP 配置和编译后选择器。只有 assetId 到最终方法的映射闭合，失败才能定位。

R8 retrace 要使用同一构建产生的 mapping 还原混淆后的 Java 或 Kotlin 崩溃。拿错 mapping 会产生误导堆栈，retrace 也不处理 Native 符号，更不能修复候选包身份错配。契约失败若伴随崩溃，报告应先核对 APK 摘要和 mapping 摘要，再进行堆栈还原。

NIST SP 800-218 SSDF 要求保留来源、构建、验证和变更证据。契约台账应连接需求、测试实现、基线结果、保护结果、候选身份、mapping、设备和批准结论。变更测试代码或 comparator 时产生新版本，不能覆盖旧回执。SSDF 不定义 VMP 产品功能。

• assetId 连接源码与编译后方法
• R8 规则和 mapping 摘要绑定候选
• 崩溃只用同构建 mapping retrace
• VMP 配置与 APK 摘要进入结果
• 测试和 comparator 版本不可覆盖
• 失败证据保留原始输入与状态

用结果比较器执行公开安全的契约门禁

下面的 Python 示例读取契约、基线结果和保护候选结果。契约定义 caseId、允许状态、输出摘要、异常类型、允许副作用与 performanceBoundaryRef。比较器检查两份结果都绑定同一 case，候选结果满足契约，并输出字段级差异。它不运行攻击、不读取私钥，也不包含客户数据。

性能字段只要求引用已批准证据，并把基线与候选的 evidenceId 交给独立评审，不在脚本中硬编码通用阈值。大输出使用 canonicalOutputSha256 绑定规范化结果，原始结果保留在受控位置。若契约字段缺失、摘要格式错误或出现未允许副作用，脚本返回非零状态。

准备核心函数的软件加固评估时，可整理资产清单、契约版本、公开或受控输入、基线与保护候选、R8 mapping、设备结果和性能边界，再通过御盾中央平台提交申请。契约通过只能证明已覆盖语义在指定范围一致，不证明完整兼容或保护强度。

• 契约由业务语义而非实现自动复制
• 输入数据和生成器具有版本
• 输出规范化算法固定
• 异常与副作用都有显式断言
• 性能使用项目边界引用
• 结果绑定 APK、配置与 mapping 摘要
• 契约通过不冒充完整兼容

from pathlib import Path
import json
import re
import sys

if len(sys.argv) != 4:
    raise SystemExit(2)
contract_path = Path(sys.argv[1])
baseline_path = Path(sys.argv[2])
candidate_path = Path(sys.argv[3])
if not contract_path.is_file() or not baseline_path.is_file() or not candidate_path.is_file():
    raise SystemExit(2)
contract = json.loads(contract_path.read_text(encoding="utf-8"))
baseline = json.loads(baseline_path.read_text(encoding="utf-8"))
candidate = json.loads(candidate_path.read_text(encoding="utf-8"))
required = ["caseId", "allowedStatus", "expectedOutputSha256", "expectedException", "allowedSideEffects", "performanceBoundaryRef"]
if any(field not in contract for field in required):
    raise SystemExit(2)
if baseline.get("caseId") != contract["caseId"] or candidate.get("caseId") != contract["caseId"]:
    raise SystemExit(2)
sha256_pattern = re.compile(r"^[0-9a-f]{64}$")
expected_digest = str(contract["expectedOutputSha256"]).lower()
if not sha256_pattern.fullmatch(expected_digest):
    raise SystemExit(2)
if candidate.get("status") not in contract["allowedStatus"]:
    raise SystemExit(2)
if str(candidate.get("canonicalOutputSha256", "")).lower() != expected_digest:
    raise SystemExit(2)
if candidate.get("exception", "") != contract["expectedException"]:
    raise SystemExit(2)
allowed_effects = set(contract["allowedSideEffects"])
candidate_effects = set(candidate.get("sideEffects", []))
if not candidate_effects.issubset(allowed_effects):
    raise SystemExit(2)
if not baseline.get("performanceEvidenceId") or not candidate.get("performanceEvidenceId"):
    raise SystemExit(2)
differences = {}
for field in ["status", "canonicalOutputSha256", "exception", "sideEffects"]:
    if baseline.get(field) != candidate.get(field):
        differences[field] = {"baseline": baseline.get(field), "candidate": candidate.get(field)}
result = {"status": "contract-pass", "caseId": contract["caseId"], "differencesForReview": differences, "performanceBoundaryRef": contract["performanceBoundaryRef"], "performanceEvidence": {"baseline": baseline["performanceEvidenceId"], "candidate": candidate["performanceEvidenceId"]}}
print(json.dumps(result, ensure_ascii=False, indent=2))