WorkManager 的业务 Worker 怎样划定 VMP 保护边界

先把 Worker 拆成调度层和业务层

一个业务 Worker 往往同时包含 WorkManager 生命周期入口、Data 解码、依赖获取、约束与停止状态读取、业务判断、网络或数据库调用、结果转换和重试策略。若把整个 `doWork()` 或 `doWork()` 对应的协程体直接纳入 VMP，平台胶水、生成状态机和第三方库都会进入保护范围。这样既没有改变服务端授权边界，又会让取消、异常、线程和版本兼容问题更难定位。

合理做法是把 Worker 当作适配器：它读取稳定输入，验证任务上下文，调用一个应用自有的业务函数，再把明确结果映射成 success、failure 或 retry。VMP 只覆盖其中与商业规则直接相关、输入输出稳定且可重复测试的小函数，例如幂等请求构造、敏感字段校验或状态转换。调度注册、WorkRequest 构建、框架 Worker、序列化和结果映射保持清晰边界。

本文只回答 WorkManager 业务 Worker 的 VMP 保护边界，不扩写成通用后台任务选型，也不把本地任务唯一性写成服务端防重放。没有最终 APK、实际任务图和设备回执时，不能宣称某个 Worker 已被保护、后台执行及时或重复操作已被阻断。调度事实、客户端抗篡改和业务幂等是三类不同证据，需要分别登记。

持久化调度不等于按时完成

WorkManager 面向需要可靠执行的可延迟持久化工作，任务可以跨应用进程退出和设备重启保留，并受约束、重试和系统配额影响。入队成功只表示工作被调度系统接受，不表示它已经执行，也不保证某个准确时刻完成。业务界面、服务端状态和审计记录不能把 enqueue 返回当作操作成功，尤其是支付确认、资产转移或账号状态变更。

VMP 不能改变调度器的时机与系统资源决定。它可以增加业务函数被直接替换的成本，却可能给启动、类加载和执行时间带来新的兼容性变量。保护前应记录未加固候选在目标设备上的入队、启动、停止、重试和完成轨迹；保护后使用同一 WorkRequest、约束和业务桩比较。没有这组对照，任务晚执行或未执行时很难区分系统调度、网络、业务失败和保护配置。

产品状态要采用可恢复模型。客户端可以展示“已提交”“等待网络”“需要重试”或“服务端已确认”，但不得在 Worker 尚未得到服务端结果时写成最终成功。进程死亡后，界面应从持久化任务和服务端事实恢复，而不是依赖内存回调。VMP 范围越靠近纯业务决策，这些状态越容易独立验证；范围越大，框架与业务故障越容易混在同一不可读路径里。

• enqueue 接受、Worker 开始和业务完成使用不同状态
• 任务状态能够在进程死亡和设备重启后恢复
• 执行时机不被描述为精确定时保证
• 保护前后使用相同约束和业务桩对照
• 界面最终成功以服务端或持久化事实为准
• 调度、网络、业务与保护失败分别记录原因

唯一任务名不能替代业务幂等

WorkManager 的唯一任务名、ExistingWorkPolicy、取消和停止语义决定本地重复工作如何追加、保留或替换。唯一名称适合防止同一应用安装内无意创建平行工作链，但它不是全局事务锁。用户清除数据、重新安装、在另一台设备操作，或者请求已经发送但本地尚未记录成功时，都可能产生新的本地任务。服务端不能因为客户端使用唯一工作就省略幂等检查。

业务幂等键应由操作语义决定，而不是直接使用 Worker UUID。一个订单确认、文件上传分片或设置同步，需要稳定标识同一次业务意图，并在服务端记录处理状态和结果。Worker 每次重试必须携带同一幂等键，服务端在重复请求时返回原结果或当前状态，不能重复执行副作用。VMP 可以保护应用自有的幂等键组装和请求字段校验，但键的最终权威状态仍在服务端。

ExistingWorkPolicy 的选择要与产品意图一致。KEEP 可能保留旧输入，REPLACE 会取消旧工作并建立新链，APPEND 会改变执行顺序；策略变化可能导致业务语义变化。门禁需要记录唯一名称、策略、输入版本和业务幂等键之间的映射，升级后测试旧任务仍在队列时的新版本行为。不能用一个统一策略覆盖所有任务，也不能在 VMP 内隐藏策略选择让排障失去证据。

约束失效和停止必须保留原语义

WorkManager 可以设置网络、电量、充电、空闲和存储等约束，约束在执行期间失效时，Worker 可能被停止并在条件满足后重新调度。因此业务函数不能假定一旦开始就会运行到结尾。长事务要有明确提交点，网络上传要能恢复，临时文件要可重建，取消后不能把半成品标记成功。VMP 若改变停止检查、异常传播或 finally 清理路径，会破坏 WorkManager 原有恢复语义。

CoroutineWorker 还涉及协程取消和挂起边界。将整个生成状态机粗放虚拟化，会把编译器生成类、Continuation、调度器和第三方挂起函数一起纳入，增加版本和调试复杂度。更稳妥的范围是保护由 Worker 调用的同步纯函数或受控的小型业务状态转换，让协程、I/O 和取消继续在外层协调。若必须保护挂起函数，需要针对取消前后、异常和进程死亡建立单独兼容证据。

重试结果必须基于可解释错误分类。临时网络或服务不可用可以进入 retry，永久输入错误和未授权操作通常不应无限重试，未知异常需要稳定上报并避免忙循环。受保护业务函数可以返回应用自有的密封结果，由薄 Worker 映射到 WorkManager Result；映射表要公开可测试，不能在虚拟化代码中吞掉异常后统一 retry。退避与配额仍由框架和系统决定，客户端不应承诺准确下次时间。

• 业务处理允许在任意停止点安全恢复或回滚
• 约束失效不会把半完成副作用标记成功
• 协程取消、异常和 finally 清理保持可观察
• 临时、永久和未知错误使用不同结果
• 业务结果到 WorkManager Result 的映射可测试
• 重试与退避不被描述为精确执行时间

保护应用自有决策并排除框架胶水

适合 VMP 的候选通常具备四个条件：属于应用自有代码，与商业操作直接相关，输入输出稳定，保护前后可以构造确定性测试。典型例子包括幂等请求字段白名单、业务状态到操作类型的映射、敏感参数一致性校验和离线待办的签名输入构造。候选函数应尽量纯净，不直接持有 Context、WorkerParameters、数据库游标、网络响应或协程 Continuation。

应排除 WorkManager 自身类、WorkerFactory、依赖注入生成工厂、Data 序列化、反射入口、网络库、数据库 ORM、日志和界面通知。它们要么属于第三方或生成代码，要么依赖框架生命周期和动态元数据。盲目保护这些层不会让服务端去重更可靠，却会扩大类加载、反射、线程、异常和版本升级的回归面。应用自有薄适配器保持可读，能在问题发生时确认输入和结果映射。

边界要通过调用图而不是文件名决定。名为 `SecureWorker` 的类可能只有调度胶水，真正商业判断在独立服务；名为 `Mapper` 的函数也可能决定订单状态和请求字段。评审时沿敏感副作用反向追踪，标出服务端权威、客户端业务决策、框架适配和第三方调用，再逐函数选择。不得用包名通配或整个模块覆盖率代替语义分析。

输入输出需要版本化且避免携带秘密

WorkManager Data 适合传递小型可持久化输入，不应承载长期秘密、完整认证材料或只能在内存中安全存在的对象。Worker 应保存业务对象标识、幂等键、输入协议版本和恢复所需的最小字段，再在执行时从受控存储和服务端读取当前状态。VMP 不能让持久化 Data 变成机密容器，日志和错误回执也要避免输出令牌、个人数据或内部地址。

输入协议必须向前兼容旧队列。应用升级后，旧版本入队的 WorkSpec 可能仍待执行，新 Worker 要能够识别旧字段版本、执行迁移、受控失败或重新入队。不能假定安装新 APK 会自动重写队列。保护范围中的业务函数应接收已验证的领域对象，而不是直接解析多版本 Data，这样协议迁移保留在可观测适配层，VMP 逻辑维持稳定。

输出也要区分本地调度结果和业务事实。success 只应在所需副作用已经完成或服务端确认幂等结果后返回；failure 表示当前输入或操作不应继续自动重试；retry 表示在相同业务意图下稍后尝试。若服务端已经完成但客户端响应丢失，下一次调用应通过幂等键取回原结果。这个语义由服务端状态和客户端协议共同实现，不由 VMP 自动提供。

• Data 只保存恢复所需的最小非秘密字段
• 输入包含明确协议版本和稳定业务标识
• 新版本 Worker 能处理队列中的旧输入
• 多版本解析留在可观测适配层
• success、failure、retry 与业务状态一致
• 响应丢失后通过服务端幂等结果恢复

用清单检查器生成保护与排除范围

下面的 Python 示例读取一个脱敏 Worker 清单。每条记录包括 Worker 类、唯一任务名、约束、结果协议、业务处理函数、是否属于生成或第三方代码、是否使用服务端幂等键以及 VMP 候选函数。脚本验证关键字段，拒绝缺少唯一名称、结果协议或幂等责任的业务任务，并输出保护、排除与回归清单。它不解析真实 APK、不含凭据，也不执行后台任务。

清单应由调用图、WorkRequest 注册点和服务端接口评审共同生成，不能仅根据类名自动猜测。示例将生成代码、第三方代码和生命周期入口列为排除项，只允许应用自有业务处理函数成为候选；若任务有服务端副作用却没有业务幂等键与服务端去重，程序会走到可达失败。约束和重试结果会转化成设备测试要求，而不是被误写成安全证明。

真实流水线还应把候选函数映射到最终 APK 方法标识和 VMP 配置摘要，并在每次构建后比较新增、删除和边界漂移。自动化可以提醒某个 Worker 新增了生成依赖、取消路径或结果类型，不能自动批准保护整个类。最终范围仍需代码所有者、测试和服务端负责人确认，任何未解释差异都不应进入发布候选。

from pathlib import Path
import json
import sys

if len(sys.argv) != 2:
    raise SystemExit("usage: worker_boundary.py workers.json")

path = Path(sys.argv[1]).resolve()
if not path.is_file():
    raise SystemExit(f"input missing: {path.name}")
document = json.loads(path.read_text(encoding="utf-8"))
workers = document.get("workers")
if not isinstance(workers, list) or not workers:
    raise SystemExit("workers must be a non-empty list")

allowed_results = {"success", "failure", "retry"}
report = []
seen_names = set()
for worker in workers:
    class_name = str(worker.get("class") or "").strip()
    unique_name = str(worker.get("unique_name") or "").strip()
    handler = str(worker.get("business_handler") or "").strip()
    if not class_name or not unique_name or not handler:
        raise SystemExit("class, unique_name and business_handler are required")
    if unique_name in seen_names:
        raise SystemExit(f"duplicate unique work name: {unique_name}")
    seen_names.add(unique_name)
    results = set(worker.get("result_contract", []))
    if not results or not results <= allowed_results:
        raise SystemExit(f"invalid result contract for {class_name}")
    if worker.get("server_side_effect") and not (worker.get("idempotency_key") and worker.get("server_dedup")):
        raise SystemExit(f"server idempotency is incomplete for {class_name}")

    excluded = [f"{class_name}.doWork", "WorkRequest-builder", "Data-serializer"]
    if worker.get("generated_code"):
        excluded.append("generated-factory")
    if worker.get("third_party_calls"):
        excluded.append("third-party-io")
    protected = [] if worker.get("handler_uses_reflection") else [handler]
    regression = ["process-death", "duplicate-enqueue", "stop-and-retry"]
    for constraint in worker.get("constraints", []):
        regression.append(f"constraint-loss:{constraint}")
    report.append({
        "worker": class_name,
        "unique_name": unique_name,
        "protect_candidates": protected,
        "exclude": sorted(set(excluded)),
        "regression": sorted(set(regression)),
    })

print(json.dumps({"workers": report}, ensure_ascii=False, indent=2))

以停止、恢复和去重回执完成验收

依赖真实 Android 运行时、组件和系统 API 的 WorkManager 语义应通过设备端 instrumented test 验证。测试矩阵至少覆盖干净入队、重复入队、进程杀死后恢复、设备重启、约束在执行前后失效、显式取消、临时错误重试、永久错误失败和服务端已完成但响应丢失。每条回执绑定最终 APK 摘要、系统版本、WorkManager 版本、VMP 配置和服务端幂等状态。

移动端抗篡改与抗逆向属于纵深防御，不能替代服务端授权、幂等和完整发布链。VMP 验收要比较保护前后相同输入下的业务函数输出、异常、取消和耗时基线，但不能根据配置存在或方法被选中就宣称达到特定强度。单一设备通过也不能代表全部 API、ABI 和厂商后台策略，未覆盖环境需要写入限制。

安全发布证据还应包含 Worker 所有者、唯一名称与策略、输入协议、结果映射、服务端幂等键、保护与排除清单、测试失败和变更审核。需要评估实际工程时，可通过御盾中央平台提交脱敏的 Worker 调用图、任务注册、结果协议、服务端去重设计和最终候选摘要，先固定最小 VMP 范围，再运行恢复回归。没有真实回执时，不登记任务完成、重复阻断或保护效果结论。

• 最终 APK 与 WorkManager、VMP 配置和服务端策略版本绑定
• 重复入队、停止、进程死亡和设备重启均有回执
• 约束失效、临时失败和永久失败路径分别测试
• 服务端完成但客户端响应丢失可恢复原结果
• 保护前后取消、异常和结果映射保持一致
• 未覆盖设备和厂商后台策略明确列入限制