VMP 加固是什么，如何选择保护范围

从攻击收益而不是代码数量开始

先列出授权判断、核心算法、协议处理、内容权益和高价值本地决策。只有被还原或修改后会形成明确损失的路径，才值得承担更高保护和回归成本。

普通界面、低价值工具方法和频繁变化的业务胶水代码通常应采用成本更低的保护方式。

• 攻击者还原这段代码能获得什么
• 这段逻辑能否由服务端承担
• 失败时是否有安全回退
• 是否能独立执行回归

组合保护仍需要分工

名称与控制流混淆用于降低可读性，Java2C 改变部分语言层表示，VMP 改变关键代码的执行表示。签名、完整性、版本治理和服务端判定仍有独立责任。

选择组合时应写清每一层解决的问题，避免把所有安全目标归给单一技术名词。

验收要绑定同一候选包

对照未保护版本记录启动、关键路径、崩溃、包体和资源消耗，再用同一候选包完成兼容范围复核。

没有当前候选包和真实路径的数据时，只能说明方法和待验证项，不能提前写成性能或兼容性结论。

• 候选包身份一致
• 关键路径可重复
• 异常能够归因
• 失败版本可以回滚

结论边界

VMP 提高的是分析和复用成本，不提供绝对可信客户端。涉及授权、交易和高风险操作时，最终决策仍应由服务端结合版本、账号和风险信号完成。