完整性信号不可用时的降级决策怎样规划 VMP

直接答案：把不可用拆成状态，不建立万能 fallback

完整性信号不可用不是单一事件。SDK 初始化失败、请求超时、设备或账号不受支持、响应为空、后端解密失败、requestHash 不匹配和明确风险 verdict 的证据含义不同。状态机先保留原因，再结合操作风险选择重试、只读、延迟提交或拒绝，不能统一映射为 allow 或 deny。

VMP 最适合保护的是这张状态到动作的映射、缓存使用条件、重试上限和禁止降级分支。平台 SDK 初始化、网络传输、响应解密与服务端业务授权保持独立。这样保护范围较小，能够用完整输入矩阵回归，也避免 VMP 异常影响系统服务和网络栈。

最终裁决必须在后端。客户端上的 integrityOk、cachedVerdict 或 unsupportedDevice 都可能被修改，后端应验证平台响应、请求绑定、主体、时间和业务对象，再按服务器策略返回有限动作。客户端即使绕过界面，也不能让敏感 API 因缺少信号而默认放行。

信号获取、平台 verdict 和业务裁决是三层证据

Play Integrity overview 建议让完整性请求靠近受保护操作，并由后端解密、验证和决策。客户端成功调用 SDK 只说明拿到某种响应，不代表响应属于当前业务请求，也不代表服务器接受。日志和类型要区分 request-created、token-received、verified 与 business-decided。

Play Integrity verdicts 包含请求详情和多类平台信号，后端应按场景组合使用。任何单项值都不是绝对可信根，也不能被公开写成 Root 判定、VMP 配置证明或攻击已被阻断。业务策略要说明读取了哪些字段、证据缺失时如何处理以及哪些操作仍需额外认证。

服务端响应也不应压成永久 trusted。它应绑定主体、操作、对象、策略版本和短有效期，并返回 allow、deny、retry 或 limited 等明确枚举。客户端只消费这一结果，不自行从原始 verdict 推导更宽权限，避免不同版本各自实现一套不可审计的授权逻辑。

requestHash 绑定必须稳定、可重算且留在服务端核对

标准完整性请求可使用 requestHash 把响应与稳定序列化的业务请求绑定。客户端应在受保护操作附近选择必要字段，使用固定字节规则计算摘要；后端从自身接收的请求重建同一输入并比较。若双方仅对一个可被替换的 requestId 求摘要，绑定无法覆盖真实业务对象。

规范化规则需要版本化，明确字段顺序、空值、字符串编码、数字范围和数组语义。VMP 可保护业务字段白名单和域分隔，但通用序列化保持可测试。客户端和服务端共用固定公开向量，任何版本漂移都应产生明确 protocolVersion，而不是在失败时忽略 hash。

hash mismatch 是强失败信号：响应可能属于另一个请求、序列化不同或上下文被修改。客户端不得回落到缓存 verdict，服务端不得仅记录警告后继续。排查时保存脱敏输入摘要、策略版本、响应请求详情和候选版本，不记录真实令牌或用户敏感数据。

按操作风险设计降级，而不是按设备标签一刀切

低风险公开读取可以在信号超时时继续，但应限制速率、数据范围和会话权限；可恢复写入可以进入待确认队列；资金、密钥、账号接管和高权限管理通常保持拒绝，等待完整证据与额外认证。风险分级来自业务影响，不来自设备型号或单一 verdict。

unsupported 不应自动等于恶意。某些合法环境可能无法提供期望信号，产品要提供人工审核、Web 流程、客服验证或受限模式等替代路径。但替代路径不能通过客户端自行声明 unsupported 获得，服务器必须根据平台响应、账号历史和操作上下文决定。

明确风险 verdict 也不能被客户端直接转成永久封禁。服务器组合账户、设备、请求和行为证据，选择拒绝当前操作、要求认证、限速或调查。公开文案只说明操作暂不可用，不暴露可以帮助枚举策略的内部阈值。

缓存只服务短期可用性，不能把旧 verdict 变成身份

缓存键至少包含账户主体、操作类型、资源或请求摘要、应用版本、策略版本和平台响应类型。只按设备 ID 或时间保存 trusted=true 会把一次低风险结果复用到高风险操作，也可能跨账号、跨候选使用。缓存记录必须有明确 issuedAt 与 expiresAt。

缓存有效期由后端返回并受本地更短上限约束。系统时钟回拨、策略版本变化、账户切换、应用升级、请求摘要变化或服务器撤销都会使缓存失效。客户端无法确认年龄时回到 unknown，不得将解析失败当作仍在有效期。

高风险操作可以完全禁用 verdict 缓存，或只缓存平台准备状态而不缓存业务 allow。缓存命中后服务器仍验证主体与操作，客户端只是减少重复准备成本。报告必须区分 cached-platform-evidence 和 cached-business-decision，避免名字造成越权使用。

错误与重试要有预算、幂等和可观测边界

网络超时可有限重试，但重试次数、总时长和退避必须明确。对会产生副作用的业务操作，服务端使用幂等键，确保完整性请求重试不会重复扣款或创建对象。客户端超出预算后返回 retry-later 或 deny，不进入无限旋转，也不切换到未验证接口。

错误分类要保留平台错误、网络错误、解析错误、后端验证错误、请求绑定错误和业务拒绝。日志只记录枚举、耗时、策略版本和脱敏摘要，不保存原始 token、完整 verdict 或客户数据。这样既能排查不可用率，也避免诊断系统成为凭据泄露面。

熔断只影响请求调度，不能改变授权策略。平台服务异常时可减少重复调用并快速返回 limited，但资金和权限操作仍由服务器保持拒绝。恢复后先通过健康探针与小流量验证，再逐步打开，不把熔断结束自动解释为所有设备可信。

VMP 保护状态转移与失败关闭，不整体虚拟化 SDK

优先候选包括 integrityState 到 businessAction 的纯函数、缓存键构造、过期判断、重试预算扣减和禁止 unknown-to-allow 分支。这些方法输入有限、输出枚举明确，泄露后会降低篡改成本，同时可用笛卡尔积测试穷举全部组合。

SDK 客户端、网络、JSON 解析、加密库、线程调度和系统服务通常保持在外。整体虚拟化会增加异步回调、版本升级和设备兼容风险，却不能让本地结果变真。平台库通过官方版本、来源和集成测试治理，VMP 规则只覆盖项目特有决策。

保护后要检查新增枚举和异常是否落入安全默认值。Kotlin sealed class 或 enum 扩展时，测试应强制所有状态显式映射；捕获 RuntimeException 后不能 return ALLOW。调用图还要确认所有敏感入口都使用同一服务器裁决，不存在旧 API 或调试开关旁路。

用穷举脚本检查未知放行、无限缓存和缺少服务器裁决

下面的 Python 示例读取公开 policy.json，其中定义 signalStates、operationRisks 和 transitions。它要求每个状态与风险组合都有明确动作，拒绝 unknown、timeout、verification-error 或 hash-mismatch 映射为 allow，拒绝无限缓存，并确认敏感操作都标记 serverRequired。

代码不调用真实完整性 API，不含令牌、内部地址或客户数据。输入派生的缺失组合和危险动作会输出具体错误后非零退出，适合作为策略代码生成前的静态门禁。生产项目可把源码状态机投影为同一格式，防止文档与实现分离。

脚本通过只证明表格满足这些结构约束，不证明平台 verdict 已验证、VMP 配置生效或业务服务器执行相同策略。下游仍要用真实候选、测试账号、requestHash、后端回执和设备矩阵验证，每个结论绑定策略与候选摘要。

import itertools
import json
import sys
from pathlib import Path

if len(sys.argv) != 2:
    raise SystemExit("usage: audit_integrity_fallback.py policy.json")
policy_path = Path(sys.argv[1]).resolve()
if not policy_path.is_file():
    raise SystemExit(f"policy missing: {policy_path.name}")
with policy_path.open("r", encoding="utf-8") as stream:
    policy = json.load(stream)
if not isinstance(policy, dict):
    raise SystemExit("policy root must be an object")

states = policy.get("signalStates")
risks = policy.get("operationRisks")
transitions = policy.get("transitions")
if not all(isinstance(item, list) and item for item in (states, risks)):
    raise SystemExit("signalStates and operationRisks must be non-empty arrays")
if not isinstance(transitions, dict):
    raise SystemExit("transitions must be an object")
allowed_actions = {"deny", "retry", "limited", "read-only", "defer", "allow"}
unsafe_states = {"unknown", "timeout", "no-verdict", "verification-error", "hash-mismatch"}
errors = []
for state, risk in itertools.product(states, risks):
    key = f"{state}:{risk}"
    rule = transitions.get(key)
    if not isinstance(rule, dict):
        errors.append(f"missing transition {key}")
        continue
    action = rule.get("action")
    if action not in allowed_actions:
        errors.append(f"invalid action for {key}: {action}")
    if state in unsafe_states and action == "allow":
        errors.append(f"unsafe default allow for {key}")
    cache_seconds = rule.get("cacheSeconds", 0)
    if not isinstance(cache_seconds, int) or cache_seconds < 0 or cache_seconds > 300:
        errors.append(f"invalid cache window for {key}")
    if risk in {"financial", "privileged"} and rule.get("serverRequired") is not True:
        errors.append(f"server decision missing for {key}")
if errors:
    print(json.dumps({"status": "failed", "errors": errors}, indent=2))
    raise SystemExit("integrity fallback policy has unsafe transitions")
print(json.dumps({
    "status": "passed",
    "checked_combinations": len(states) * len(risks),
    "boundary": "structure passed; real verdict and server enforcement remain separate gates",
}, indent=2))

发布证据要覆盖故障注入、服务端执行和实际候选

NIST SP 800-218 SSDF 要求保留来源、构建、验证和变更证据。对应完整性降级，证据包包含状态机版本、VMP 方法范围、平台 SDK 版本、requestHash 规则、缓存上限、重试预算、后端策略、故障注入结果、候选摘要和设备范围。

OWASP MASVS-RESILIENCE 将抗逆向与抗篡改视为纵深控制。保护规则和静态门禁不能证明攻击已被阻断，也不能证明 Root 状态。公开报告只陈述真实观察，不提供客户、性能、兼容、排名、收录或阻断数字，数据缺失就明确标记。

完整性策略若依赖远端配置，可查看[远端配置安全决策的 VMP 边界](/zh-cn/articles/remote-config-security-decision-vmp-boundary/)，避免本篇重复回答配置签名问题。需要提交候选与状态机，可从[御盾中央平台申请加固服务](https://www.leonadev.com/console/)。登录、注册、价格、购买和控制台统一由中央平台承接。

• 超时、无 verdict、不支持、验证失败和明确风险使用不同状态
• requestHash 绑定受保护操作并由服务端重算
• unknown 与异常路径从不默认映射为 allow
• 缓存绑定主体、操作、请求摘要、策略版本和短有效期
• 金融、权限与密钥操作始终需要服务器裁决
• 重试有次数、总时长、退避和业务幂等边界
• VMP 只覆盖状态映射、缓存和失败关闭小方法
• 故障注入、真实后端与设备证据绑定同一候选