Flutter APK 安全哨兵

Flutter 应用发布后的 Android 产物通常是编译好的 APK 或 AAB 文件。对于安全工程师而言，审计这类黑盒产物极其耗时：核心 Dart 业务逻辑被编译进 libapp.so 原生快照中，而 UI 配置、声明权限和组件属性散落在解压后的 XML 与资源文件里。仅靠肉眼观察反编译代码，很难系统地追踪权限滥用、签名异常或内嵌密钥的风险。

工作流与核心能力

该技能是一个基于证据收集的 Agent 工作流，而非简单的自动化扫描器。它会首先在目标应用工程之外的临时目录中进行操作，确保完全隔离。其核心审查步骤包括：

• 只读提取：使用只读命令解压并检查产物，绝不修改、重签或删除原始文件。
• 证据记录：精确定位 manifest 节点、证书主体、包名、权限列表以及原生库路径，提供可追溯的上下文证据。
• 自动获取：如果审查对象是已上架的公开应用，Agent 可以通过 apkeep 自动拉取 APK 并继续后续审查流程。

适用边界与注意点

该技能坚持最小干预原则。它绝不会擅自更改用户应用的权限配置、签名状态、依赖项或生产环境发布策略。在提取并展示内嵌密钥（API Key 等敏感信息）时，系统会自动进行脱敏处理，仅展示用于标识的短前缀或后缀。此外，反编译得到的 Java/Kotlin/smali 代码仅作为安全审查的证据参考，不能被视为应用的真实源码。