**路径 B：软禁用方案（Runtime Interception）详细实施步骤**
**核心思路：**
不修改 `Android.bp` 和 `android.config`，保持 `CONFIG_WPS=y` 和 `CONFIG_WEP=y` 编译宏开启。这样可以保证所有结构体定义完整，编译不会报错。我们在 HAL 层接口（AIDL/HIDL）函数的**最前端**进行拦截，直接返回“不支持”或“失败”。
假设你的代码环境是 Android 13/14/15，使用的是 **AIDL** 接口（根据你之前提供的代码片段 `ndk::ScopedAStatus` 判断）。


----
### 第一步：定位源文件

通常位于 `external/wpa_supplicant_8/wpa_supplicant/aidl/` 目录下。我们需要修改两个核心文件：

1. **`SupplicantStaIface.cpp`** (负责处理 WPS 启动命令)

2. **`StaNetwork.cpp`** (负责处理网络配置，如设置 WEP 密钥)


----
### 第二步：实施 WPS 禁用 (SupplicantStaIface.cpp)

**目标**：无论上层（Settings 或 CMD）发来什么 WPS 指令，底层直接拒绝。
打开 `SupplicantStaIface.cpp`，找到 `startWps` 函数。
```
cpp// 文件路径: external/wpa_supplicant_8/wpa_supplicant/aidl/SupplicantStaIface.cppndk::ScopedAStatus SupplicantStaIface::startWps(    const std::vector<uint8_t>& in_pin, const WpsConfigMethods& in_configMethods,    const std::vector<uint8_t>& in_bssid){    // =========================================================================    // [PCI FIX START] ZTech Sam.wang: Disable WPS completely for PCI compliance    // =========================================================================    wpa_printf(MSG_ERROR, "PCI: WPS request blocked by security policy.");    return createStatus(SupplicantStatusCode::FAILURE_UNSUPPORTED);    // =========================================================================    // [PCI FIX END]        // ... 下面是原有的代码逻辑，不需要动，也不需要删除 ...    struct wpa_supplicant* wpa_s = retrieveIfacePtr();    // ...}``*
```为了保险起见，建议同时也拦截 `cancelWps`（虽然这个不涉及安全风险，但保持一致性）：
```
cppndk::ScopedAStatus SupplicantStaIface::cancelWps(){    // [PCI FIX]    return createStatus(SupplicantStatusCode::FAILURE_UNSUPPORTED);        // ... 原有代码 ...}
```

----
### 第三步：实施 WEP 禁用 (StaNetwork.cpp)

**目标**：禁止设置 WEP 密钥。如果无法设置密钥，WEP 网络就无法建立连接。
打开 `StaNetwork.cpp`，找到设置 WEP 密钥相关的函数（通常是 `setWepKey` 和 `setWepTxKeyIdx`）。
**1. 拦截 `setWepKey`**
```

```**2. 拦截 `setWepTxKeyIdx`**
```
cppndk::ScopedAStatus StaNetwork::setWepTxKeyIdx(int32_t in_wepTxKeyIdx){    // [PCI FIX]    return createStatus(SupplicantStatusCode::FAILURE_UNSUPPORTED);        // ... 原有代码 ...}
```**注意**：你不需要去修改 `getWepTxKeyIdxInternal`（你之前贴的那个读取函数）。只要我们禁止了 **Set（写入）**，WEP 网络就无法配置成功，读取函数返回什么已经不重要了，且因为结构体未变，读取函数也不会崩。


----
### 第四步：修改配置文件 (清理门户)

为了让 PCI 审计员在查看静态配置时也满意，你需要修改默认的配置文件。
**文件路径**：通常在 `device/<vendor>/<model>/wpa_supplicant.conf` 或 `/vendor/etc/wifi/wpa_supplicant.conf`。
**操作**：

1. 找到 `config_methods=display push_button keypad`。

2. **删除该行**，或者将其改为空。

3. （可选）添加注释说明。


```
conf# PCI Compliance: WPS methods removed# config_methods=display push_button keypad 
```

----
### 第五步：验证 (How to Verify)

编译并刷入 `vendor.img` (或者只替换 `wpa_supplicant` 二进制文件和库) 后，进行如下测试：
**1. 验证 WPS (必须报错)**
```
bashadb shell# 使用 wpa_cli 发送 WPS 指令wpa_cli -g@android:wpa_wlan0 wps_pbc
```
- **期望结果**：
	- 修改前：返回 `OK`。
	- 修改后：应该返回 `FAIL` 或者 `UNKNOWN COMMAND` (取决于 `wpa_cli` 处理 `FAILURE_UNSUPPORTED` 的方式)，且 `logcat` 中会出现我们添加的 `PCI: WPS request blocked` 日志。


**2. 验证 WEP (配置失败)**
尝试手动添加一个 WEP 网络：
```
bashadb shellwpa_cli -g@android:wpa_wlan0 add_network# 假设返回网络 ID 0wpa_cli -g@android:wpa_wlan0 set_network 0 ssid '"WEP_TEST"'wpa_cli -g@android:wpa_wlan0 set_network 0 key_mgmt WEPwpa_cli -g@android:wpa_wlan0 set_network 0 wep_key0 '"12345"' 
```
- **期望结果**：在设置 `wep_key0` 时，应该返回 `FAIL`。


### 总结 "路径 B" 的优缺点


- **优点**：
	- **极低风险**：不动编译宏，绝对不会出现 `struct` 对不齐、内存溢出或大量的编译错误。
	- **快速实现**：只需要修改 2-3 个 CPP 文件和 1 个 CONF 文件。
	- **满足合规**：从功能上彻底阻断了 WPS 和 WEP 的使用路径。

- **缺点**：
	- 代码体积不会减小（废代码还在二进制里，只是不可达）。
	- 如果有“极其底层”的黑客直接绕过 HAL 层调用 C 核心接口（极难），理论上代码还在内存里。但对于 PCI 审计来说，封锁 HAL 接口通常已经被视为足够的控制措施。


**建议直接采用路径 B**，这是工程落地最稳妥的方案。

路径 B：软禁用方案（Runtime Interception）详细实施步骤核心思路：不修改 Android.bp 和 android.config，保持 CONFIG_WPS=y 和 CONFIG_WEP=y 编译宏开启。这样可以保证所有结构体定义完整，编译不会报错。我们在 HAL 层接口（AIDL/HIDL）函数的最前端进行拦截，直接返回“不支持”或“失败”。假设你的代码环境是 Android 13/14/15，使用的是 AIDL 接口（根据你之前提供的代码片段 ndk::ScopedAStatus 判断）。

软禁WPS

路径 B：软禁用方案（Runtime Interception）详细实施步骤核心思路：不修改 Android.bp 和 android.config，保持 CONFIG_WPS=y 和 CONFIG_WEP=y 编译宏开启。这样可以保证所有结构体定义完整，编译不会报错。我们在 HAL 层接口（AIDL/HIDL）函数的最前端进行拦截，直接返回“不支持”或“失败”。假设你的代码环境是 Android

安全

操作系统

客户端

"路径B软禁用方案通过HAL层拦截实现WPS/WEP禁用，无需修改编译宏，保持结构体完整。在SupplicantStaIface.cpp拦截WPS启动命令，在StaNetwork.cpp阻止WEP密钥设置，同时清理wpa_supplicant.conf配置。方案风险低、实施快，完全满足PCI合规要求，是工程落地最优解。"

Android

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

"路径B软禁用方案通过HAL层拦截实现WPS/WEP禁用，无需修改编译宏，保持结构体完整。在SupplicantStaIface.cpp拦截WPS启动命令，在StaNetwork.cpp阻止WEP密钥设置，同时清理wpa_supplicant.conf配置。方案风险低、实施快，完全满足PCI合规要求，是工程落地最优解。...

软禁WPS-腾讯云开发者社区-腾讯云

软禁WPS

软禁WPS

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐