《Android开发艺术探索》读书笔记 (13) 第13章 综合技术、第14章 JNI和NDK编程、第15章 Android性能优化
本文由作者根据其在KCon 2016黑客大会上的演讲内容整理而成。演讲稿链接：Binder fuzzing based on drozer。 文章开始，先来看几个我在工作生活中发现的Android漏洞。其中包括Android系统锁屏密码绕过（影响了所有安全补丁在2016年10月份以前的Android 6.0、6.0.1、7.0系统）、三星手机关机窃听、三星手机越权修改主题、系统拒绝服务漏洞。然后我们再来解释相关的技术知识和实践。 Android漏洞案例 Android系统锁屏密码绕过 先来看下漏洞视频演示：
从 Android 4.4 开始，系统浏览器内核开始从 WebKit 切换到 Chromium。为了保持 API 兼容，Chromium 为 Android WebView 提供了 Chromium WebView 封装。最初 Chromium Webview 代码是位于 AOSP 源码树中，和 AOSP 源码一起构建。到了 Android 5.0，Chromium WebView 代码依然在 AOSP 源码树上，只是 Android 5.0 还支持单独升级 Chromium WebView，这时 Chromium WebView 由一个 名为 webview.apk （从 Chromium 源码 build 出来的叫 SystemWebView.apk，文件名不是那么重要）提供。由于是一个 APK，可以像普通应用 APK 那样安装、升级。到了 Android 6.0， AOSP 源码和 Chromium 源码彻底分离，AOSP 中不再包含 Chromium 的源码，取而代之的是一个 prebuilt 的 webview.apk 。
所有 Android包（APK）文件在部署之前都需要被数字签名，Android使用一个已有的密钥签发调试用的 APK。你可以使用 Java提供的 keytool命令来查看。
由于其开放性，Android 在其前十年取得了显著的增长。有大量的设备可供选择，蓬勃发展的开发者生态系统提供了许多应用和游戏，为这些设备赋予了长久的生命力。作为开发者，您希望确保用户尽可能获得最佳体验，并确保您的应用尽可能在所有这些设备上运行。您还希望尽可能多的用户安装您的应用; 您也希望他们持续使用它; 并且您不希望他们因您无法控制的原因卸载您的应用。到目前为止，Android 应用的发布和分发方式在所有这些方面都有待改进。我想观察一下开发者面临的一些挑战，并告诉您 Google 正在采取哪些措施来提供帮助。
研究了一下android的apk困惑签名和代码包装，假设没有混乱包。然后apk人们可以直接查看源代码反编译出来，尽管混乱包或能看懂。但不是那么容易理解，要求在至少一些时间
这段时间在学Android应用开发，在想既然是用Java开发的应该非常好反编译从而得到源码吧，google了一下，确实非常easy，下面是我的实践过程。
Google Play 中 , 2021 年 8 月 之后 , 新应用需要使用 Android App Bundle 发布应用 , 并且大小不能超过
当我们在 Android Studio 中，直接 Run 一个项目时，AS 会自动打一个 Debug 的 Apk，并通过 ADB 命令，将 App 安装到我们连接的设备上。
LZ-Says：热腾腾的一天那，貌似今天帝都达到了高温，热腾腾，我滴天。。。各位老铁注意防暑，多喝水~~~
因为最近参加2020FEHackson，有个项目需要要快速上线，把打包过程和遇到的问题做个记录。
传统的 Android Package Kit (APK) 包含应用支持的所有设备的代码和资源 (布局文件、图像等)。因此，您在安装 APK 时可能装上了一些您永远不会用到的资源。您的屏幕尺寸不会改变，您的 CPU 也不会; 您通常不会说应用所支持的所有语言。很明显，APK 里的内容的比您要求的更多，占用的空间也比实际需要的更多。
原文地址：How to optimize your app for Android (Go edition) 原文作者：Raj Ajrawat 译文出自：掘金翻译计划 本文永久链接：github.co
Android 工程构建的持续集成，需要搭建一套编译和打包自动化流程，比如建立每日构建系统、自动生成发布文件等等。这些都需要我们对Android工程的编译和打包有一个比较深入的理解，例如知道它的每一步都做了什么，需要什么环境和工具，输入和输出是什么，等等。
虽然依旧能抓到大部分Android APP的HTTP/HTTPS包，但是别高兴的太早，有的APP为了防抓包，还做了很多操作： ① 二次加密 有的APP，在涉及到关键数据通信时，会将正文二次加密后才通过HTTPS发送，我们抓包抓到的是一堆二进制base64 ② 自带HTTP Client 像支付宝那样的变态，自己带了一个基于so的HTTP Client库，对于关键数据，都不走URLConnection和OkHttp，而是走自己的HTTP Client库，甚至一些WebView页面的渲染，都是先用自带的HTTP Client请求得到json数据，然后填到HTML模板里面，再在WebView里渲染出来。 ③ SSL/TLS Pinning，APP自带服务端证书，除了自带证书什么都不信
作为软件行业的从业者都知道,一款软件的开发过程中肯定会诞生两种版本,即debug版本和release版本,debug版本包含有调试信息,一般来说都要比release版本大,android应用当然也不例外
自 2018 年 5 月发布 Android App Bundle 以来，我们见证了开发者社区积极拥护这一全新发布格式，并受益于其简化的发布管理和高级分发功能。现在，有逾一百万款正式版应用在使用 App Bundle，Google Play 上排名前 1,000 的大多数应用和游戏均在此列，例如 Adobe、Duolingo、Gameloft、Netflix、redBus、Riafy 和 Twitter。
简评：Android Support Library 26 中终于实现了一个等待已久的功能： RecyclerView 的快速滚动 。
在调试应用程序时，Android SDK工具会自动对应用程序进行了签名。Eclipse的ADT插件和Ant编译工具都提供了两种签名模式——Debug模式和Release模式。 在开发和测试时，可以使用Debug模式。Debug模式下，编译工具使用内嵌在JDK中的Keytool工具来创建一个keystore和一个 key（包含公认的名字和密码）。在每次编译的时候，会使用这个Debug Key来为apk文件签名。由于密码是公认的所以每次编译的时候，并不需要提示你输入keystore和key密码。
众所周知，由于国内Android渠道环境的特殊性，每当Android客户端需要发布新版本或者与渠道推广合作时，就需要在安装包中添加不同的渠道信息，也就是channel，制作成APK渠道包之后，投放到不同渠道才能统计相应数据。
每年，Google Play 助力数十亿的 App 进行安装或者更新。我们一直致力于提升 App 安全性和性能，确保每个用户都能够获取最佳体验，探索和安装自己喜欢的 App 和游戏。 今天，我们想要和各位 Android 开发者简单说明一下三项变更，它们背后的原因，以及它们如何让 Android 设备运行得更加安全和流畅。 从 2018 下半年开始，Google Play 要求新 App 和 App 更新包将目标 SDK 版本（Target SDK Version）设定为最新版。针对新发布 App，此项变更
随着APP的一次又一次迭代，APP的体积也越来越大，这时候，会引发这么一个问题，早期的错误异常如下：
应用的构建速度会直接影响开发效率，本文将带您通过改造一个 Android 应用: “Google 追踪圣诞老人 (Google Santa Tracker)” 来为大家提供十个小技巧，帮助提升应用的 Gradle 构建速度，当我们应用了所有的小技巧之后，该演示应用的构建速度快了三倍以上。
Gradle是一种依赖管理工具，基于Groovy语言，面向Java应用为主，它抛弃了基于XML的各种繁琐配置，取而代之的是一种基于Groovy的内部领域特定（DSL）语言。
我们在 app 正式发布的时候一定会使用正式签名的方式来打包，这种方式只能生成唯一的一个包，但是如今的应用商店非常多，如：小米、OPPO、360、百度、豌豆荚、应用宝等等。而我们只有一个 apk 文件要投入到这么多的应用商店中去，如果你的公司不需要统计每个应用商店的实际下载使用量的话，那倒是不会有这样的问题。
LZ-Says：在外面呆了一年又一年，似乎都快忘记当初出来的目的，不过，幸好，不忘初心~给家里买点东西，家里开心，我也开心~这就够了。
链接: https://pan.baidu.com/s/1I6HDq739DwycwA3JMZ4acQ 提取码: qr5t
【Google Play】创建 Google 开发者账号 ( 注册邮箱账号 | 创建开发者账号 ) 【Google Play】创建并设置应用 ( 访问权限 | 内容分级 | 受众群体 | 类别及联系方式 | 商品详情 )
Android 5.0 及其以后版本：设置属性 View.SYSTEM_UI_FLAG_LAYOUT_FULLSCREEN 使得我们的内容布局可以延伸到系统状态栏，然后直接使用方法 setStatusBarColor() 把系统状态栏设置成透明就好了。
ACE Tools是一套为ArkUI-X应用开发者提供的命令行工具，支持在Windows/Ubuntu/macOS平台运行，用于构建OpenHarmony、HarmonyOS、Android和iOS平台的应用程序， 其功能包括开发环境检查，新建项目，编译打包，安装调试等。
我们知道，一款Android 要发布的话，必须经过签名，Android目前支持的签名方式包括三种：
你可以用keytool命令生成一个私有密钥。在Windows上keytool命令放在JDK的bin目录中（比如C:\Program Files\Java\jdkx.x.x_x\bin），你可能需要在命令行中先进入那个目录才能执行此命令。在mac上，直接进入项目根目录输入一下命令：
Android库在结构上与Android应用模块相同。它可以提供构建应用所需的一切内容，包括源代码、资源文件和Android清单。不过，Android库将编译到可以用作Android应用模块依赖项的Android归档（AAR）文件，而不是在设备上运行的APK。与JAR文件不同，AAR文件可以包含Android资源和一个清单文件，这样除了Java类与方法外，还可以捆绑布局和可绘制对象等共享资源。
简单来说，apk就是一个带有签名的zip格式的压缩包，签名为了保护开发者的权益和标识apk。做为android逆向学习的第一步，了解apk的文件结构和生成过程是很有必要的。为了提升apk的安全性能，现在很多安卓应用程序的核心代码都采用NDK开发，所以生成的apk中会多出一个lib文件夹用于存放so文件。
一、背景介绍 近日，Android平台被爆出“核弹级”漏洞Janus（CVE-2017-13156），该漏洞允许攻击者任意修改Android应用中的代码，而不会影响其签名。 众所周知，Android具有签名机制。正常情况下，开发者发布了一个应用，该应用一定需要开发者使用他的私钥对其进行签名。恶意攻击者如果尝试修改了这个应用中的任何一个文件（包括代码和资源等），那么他就必须对APK进行重新签名，否则修改过的应用是无法安装到任何Android设备上的。但如果恶意攻击者用另一把私钥对APK签了名，并将这个
一、背景介绍 近日，Android平台被爆出“核弹级”漏洞Janus（CVE-2017-13156），该漏洞允许攻击者任意修改Android应用中的代码，而不会影响其签名。 众所周知，Android具有签名机制。正常情况下，开发者发布了一个应用，该应用一定需要开发者使用他的私钥对其进行签名。恶意攻击者如果尝试修改了这个应用中的任何一个文件（包括代码和资源等），那么他就必须对APK进行重新签名，否则修改过的应用是无法安装到任何Android设备上的。但如果恶意攻击者用另一把私钥对APK签了名，并将这个修改过的
在分析安装过程之前，需要先了解一下 Android 项目是如何经过编译->打包生成最终的 .apk 格式的安装包。谷歌有一张官方图片来描述 apk 的打包流程，如下图所示。
并且一个项目配置好一次以后，部署的步骤和部署的人通常很固定，所以大部分开发者也没机会去学习它。
0x01前言 这年头，apk全都是加密啊，加壳啊，反调试啊，小伙伴们表示已经不能愉快的玩耍了。静态分析越来越不靠谱了，apktool、ApkIDE、jd GUI、dex2jar等已经无法满足大家的需求了。那么问题就来了，小伙伴们真正需要的是什么？好的，大家一起呐喊出你内心的欲望吧，我们的目标是——“debug apk step by step”。 0x02那些不靠谱的工具 先来说说那些不靠谱的工具，就是今天吭了我小半天的各种工具，看官上坐，待我细细道来。 2.1 IDA pro IDA pro6.6之后加入
如果你是使用android studio编译项目的化，在编译apk只会会自动给apk签名。
Android源码录音功能说起来似乎也很简单，只不过就是一个录音的功能然后进行了一个保存的操作。为什么要研究这个呢？毕竟现 在语音通话、直播亦或者是语音助手比较流行，其中其实最基础的还是对录音的一些处理，所以还是有必要研究一下的。 说起来功能简单，但其实单单是录音功能其中又夹杂着一些别的东西，比如UI的实时更新，电话等各种状态的监控，音量大小的监 控。录音的保存也涉及到往手机中写数据，以及以何种格式写数据，比如当前流行的直播，音频流的传输到底以何种格式，手机可以 播放什么样的格式，这些都会涉及。但是手机的
Walle 介绍 Walle（瓦力）：Android Signature V2 Scheme签名下的新一代渠道包打包神器。 瓦力通过在Apk中的APK Signature Block区块添加自定义的渠道信息来生成渠道包，从而提高了渠道包生成效率，可以作为单机工具来使用，也可以部署在HTTP服务器上来实时处理渠道包Apk的升级网络请求。 ——来自 Walle 使用 使用Walle生成多渠道的速度是很快的，原来的项目打一个包就需要两分钟多，每次发布打7个包需要十几分钟。用了Walle后，7个包只要两分钟左右
1.项目配置 1.1 项目规范 包存放路径: 统一在app/build/outputs/apk/[debug|release]目录下。 1.2 编写上传包脚本（支持fim/pgyer） 参考文档： fir.im平台发布应用API文档 蒲公英平台发布应用API文档 获取上传凭证: 获取cert.binary中的数据。 上传APK: 定义包信息并上传。 #coding:utf8 import requests import sys import json from requests.packages.ur
Android Vector曲折的兼容之路 两年前写书的时候，就在研究Android L提出的Vector，可研究下来发现，完全不具备兼容性，相信这也是它没有被广泛使用的一个原因，经过Google的不
Android Studio是Android的官方IDE。它是专为Android而打造，可以加快您的开发速度，帮助您为每款Android设备构建最优应用。
现在为了推广产品，会在多个渠道应用市场发布应用，为了统计不同渠道的数据，需要在应用中表明渠道，如果一个一个去修改打包效率会很低。AS为我们提供了简便的方法，可以多渠道打包，一次打包所有的渠道包。
前言 Android官网构建系统介绍https://developer.android.com/studio/build/index.html
大家在开发安卓应用的时候，在调试阶段通常都是通过 run 的方式发布到模拟器或者真机上，我们知道 android 应用打包后的后缀名是 .apk 文件。.apk 文件是一种压缩包，类似 .zip 文件，我们可以通过强制更改它的后缀为 .zip 来解压 apk 获取包里的内容，以这种方式可以验证它其实就是一个压缩包。
这是一个新的系列文章，我们称之为 "Modern Android Development 技巧"，简称为 "MAD Skills"。本系列文章致力于帮助开发者们打造更好的现代 Android 开发体验，敬请关注。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
