Android(Q/P版本)扫描非SDK接口(google veridex工具)

---

1 前言

最近提审oppo的apk被打回，收到如下邮件

尊敬的开发者：
近期OPPO研发组正在进行OPPO Reno（型号PCAM00）的安卓Q适配
（适配指南：https://open.oppomobile.com/wiki/doc#id=10325），经测试，
发现您名下产品存在BUG（见下表），请您先自查，并在9月10日前完成相关修复。
若长时间没处理，默认您的产品无人维护，我们将对您的产品采取下架/屏蔽处理！

2 限制非SDK接口背景

从Android P开始,谷歌就开始限制开发者，禁止反射调用系统的一些方法，特别是谷歌给出的黑名单里面的方法。当然，这是为了提升开发者体验和增强APP稳定，更是为了安卓的生态发展。
那些官方限制的都是一些非SDK接口，就是一些private的或者是hide的方法或字段，这些因为是没有公开的，可能会在某个版本就消失了。所以不应该访问这些SDK中未列出的方法或字段。

非SDK接口的三种分类：浅灰名单，深灰名单和黑名单

3 扫描工具下载

如何知道自己的app使用了非标准SDK的接口？google已经为我们制造了这样的一个工具：veridex
官方下载地址
https://android.googlesource.com/platform/prebuilts/runtime/+/master/appcompat
百度网盘下载链接1
https://pan.baidu.com/s/1MnpHXoSSdfNYwgBTDRrmTg
提取码：ynyy
百度网盘下载链接2
https://pan.baidu.com/s/1NojiqPjvJMzJ_AuHd5jukQ

4 如何使用

veridex工具支持linux，windows和macOS三种操作系统，解压缩之后，你会在README.txt中看到具体的操作指南，这里以mac环境为例做个示范

命令

./appcompat.sh --dex-file=my_game.apk

扫描结果

由上图可知，一共扫描出
1个非SDK接口在深灰名单
5个非SDK接口在浅会名单
并没有使用黑名单里面的非SDK接口

注意输出的前面三行
NOTE: appcompat.sh is still under development. It can report
API uses that do not execute at runtime, and reflection uses
that do not exist. It can also miss on reflection uses.
就是说这个工具可能会误判，所以需要开发者自己复查一次

5 补充

我们使用下面的命令行将其扫描内容输出到文件中

./appcompat.sh --dex-file=my_game.apk.apk >> out_put.txt

当然也可以加一个--imprecise参数，加这个参数是为了让输出内容更加详细

./appcompat.sh --dex-file=my_game.apk --imprecise >>  out_put.txt