[TOC] # 整體方案 ## 背景 * 用戶同意隱私協議之前，不能有收集用戶隱私信息的行為 * 頻繁申請權限、超范圍申請權限 ## 發現問題 ### 隱私API Mac地址、AndroidID、IMEI、IMSI等 寫到配置里 ### 基于JVMTI 運行時hook框架 本質是?JVMTI 本質上是在JVM內部的許多事件進行了埋點,包括內存申請、線程創建、類加載、GC信息、方法執行等，也可以控制JVM的某些行為 C/C++實現一個JVMTI Agent,在Agent里面注冊一些JVM事件的回調。當事件發生時JVMTI調用這些回調方法。Agent可以在回調方法里面實現自己的邏輯。 ## 修改問題 ### 隱私SDK * 接口保持與系統的一致 * 內部做了緩存，只會獲取一次隱私信息 ### 基于AMS 編譯時hook框架 * 由于jvmti影響性能，開啟特殊的指令，編譯特殊的包 * 隱私的調用會被存儲堆棧到本地文件里面 * UI自動化測試用例編寫 ## 長效監控 ### UI自動化流水線檢查 * 由于jvmti影響性能，開啟特殊的指令，編譯特殊的包 * 隱私的調用會被存儲堆棧到本地文件里面 * UI自動化測試用例編寫 ### 代碼靜態檢查Lint開發 敏感API調用 # 參考資料 [ASM hook隱私方法調用，防止App被下架](https://juejin.cn/post/7043399520486424612) [我為Dexposed續一秒——論ART上運行時 Method AOP實現](https://weishu.me/2017/11/23/dexposed-on-art/) [Android JVMTI實現應用內存動態檢測](https://www.jianshu.com/p/ab7bbc319dd9) [ 美團外賣Android Lint代碼檢查實踐](https://zhuanlan.zhihu.com/p/35608859) [Android Lint](https://www.jianshu.com/p/b4c44e62d652) [Android Native Hook技術你知道多少？](https://zhuanlan.zhihu.com/p/132699875)