Flutter APK 安全守卫

解决什么问题

发布 Android APK/AAB 时，安全审查容易被压缩成几次字符串搜索。Flutter 应用的业务逻辑常编译进 libapp.so，但 Android 壳层仍暴露 manifest、权限、组件、签名和第三方 SDK 线索。该技能用于在不动原始包的前提下，收集可复核证据，判断发布件是否存在 debug 开关、明文通信、导出组件、硬编码密钥、测试域名或签名异常。

技能如何工作

• 只读检查：优先在临时目录中检查，不修改、重签名、对齐或删除原始 APK/AAB。
• 识别 Flutter：检查 flutter_assets/、lib/*/libapp.so、libflutter.so 和 Flutter embedding 类。
• 解析 Android 元数据：通过 aapt2、JADX 或 unzip 检查包名、SDK、权限、AndroidManifest.xml、intent filter 和 network security config。
• 扫描证据：检查资源、assets、native 字符串、MethodChannel/EventChannel、WebView、存储和常见服务标记。
• 评分输出：按 critical、high、warning 扣分，给出 SAFE、RISKY、UNSAFE 状态，并记录路径、字段、证书主题或字符串上下文。

适用边界

它不是完整漏洞扫描器，也不替代动态测试、权限合规审查或应用商店合规判断。资料未证实时不应推断 Dart 源码恢复；若缺少 APK/AAB 和包名，需要用户提供工件或授权检查已发布包。涉及支付、认证、签名、权限和依赖变更的修复动作必须显式批准。