admin/prop-ai-hr
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

fix(release): close fixed-code mobile auth gaps

Browse Source
This commit is contained in:
key
2026-07-29 11:59:30 +08:00
parent 3c92edd23d
commit 70e5516ff3
21 changed files with 546 additions and 65 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/MOBILE_APP_DEVICE_ACCEPTANCE.md
+5 -1
View File
@@ -44,7 +44,11 @@ Android 每个人工步骤完成后，可在不改变设备状态的前提下保
2026-07-29 又以新增的只读统一取证脚本复核同一虚拟机的当前状态：前台 Activity 为 `io.dcloud.PandoraEntryActivity`，原生隐私标题、“暂不同意”和“同意并继续”三个控件均可见，手机号登录尚不可见；相机、录音、图片和视频权限仍为 `false`，应用退出记录中未出现 Crash/ANR。截图、UI、权限、Activity、退出记录和 JSON 均落在忽略目录 `output/aug1-rc/android-acceptance/20260728-192056-privacy-before-choice/`。该次只记录选择前基线，仍未代替用户做隐私选择。
随后根据企业内部应用的体验决策，`0.1.12 (112)` 取消 DCloud 启动原生确认，法务同意统一放到登录页。新 APK 大小 `33,921,458` 字节，SHA-256 为 `DD24E5F20BC7C064F5059E538A1FAB7518DF46CBAB502F59A3629F0B1B1F5EBB`；包体门禁确认 `prompt=none`、登录页两个 HTTPS 链接和未勾选拦截均已内置。在同一 Android 15/API 35 虚拟机卸载旧包后全新安装，取证结果为原生隐私层 `not-visible`、四项敏感权限未授权、进程与前台 Activity 正常且无 Crash/ANR，证据位于 `output/aug1-rc/android-acceptance/20260729-021418-no-native-privacy-fresh-install-retry/`。该 x86_64 虚拟机运行 ARM-only DCloud Weex 时出现 IPC 初始化超时，页面主体不能作为通过证据；登录页交互和认证业务仍须在 ARM64 真机完成。
2026-07-29 当前非自定义基座内测 APK 已升级为 `0.1.13 (113)`，大小 `33,921,543` 字节，SHA-256 为 `FA2D2A6DC84AE759714E6D16D146C1E1552A0F3F53C046069422012361D1D0C0`。DCloud 云端证书打包成功，APK 深检通过包名、API 35、v2 测试签名、登录页法务门禁、身份失败关闭、包内资源一致性、敏感值和禁止明文 HTTP。生产固定码的首次获取/登录、退出、旧令牌失效、等待防刷窗口后的再次获取和重新登录已在非真机认证脚本中通过，两次验证码请求均确认未真实发送短信；这不替代本文件下列 Android 真机权限、系统选择器、前后台、弱网、附件和媒体链路验收。
随后根据企业内部应用的体验决策，`0.1.12 (112)` 取消 DCloud 启动原生确认，法务同意统一放到登录页。新 APK 大小 `33,921,458` 字节，SHA-256 为 `DD24E5F20BC7C064F5059E538A1FAB7518DF46CBAB502F59A3629F0B1B1F5EBB`；包体门禁确认 `prompt=none`、登录页两个 HTTPS 链接和未勾选拦截均已内置。在同一 Android 15/API 35 虚拟机卸载旧包后全新安装，取证结果为原生隐私层 `not-visible`、四项敏感权限未授权、进程与前台 Activity 正常且无 Crash/ANR，证据位于 `output/aug1-rc/android-acceptance/20260729-021418-no-native-privacy-fresh-install-retry/`。当前 AVD 是 `x86_64`，而 APK 只含 `arm64-v8a/armeabi-v7a`；DCloud Weex 跨架构转译实际报 `spinWaitPeer timeout`、`sender is null` 和 IPC timeout，所以原生外壳可见但页面主体空白。该现象不证明产品页面失败，也不能作为页面通过证据；不得为此修改正式 ABI、回退 H5 壳或增加业务兜底。
同一 `mobile-uni` 源码的 H5 构建另在 390×844 Playwright 真浏览器补验：登录页核心表单、登录按钮和协议行均在首屏；协议默认未勾选，点击“获取验证码”或“登录”都显示“请先阅读并勾选同意”，且网络列表无业务请求；勾选后进入手机号必填校验；《服务协议》《隐私政策》分别打开 `https://peilian.njzhmj.top/legal/terms.html` 与 `https://peilian.njzhmj.top/legal/privacy.html`，页面标题和正文可读，控制台 0 错误。截图位于 `output/playwright/aug1-login-consent/`。该证据仅覆盖 Web 页面布局、链接与请求前门禁，不替代 App 运行、认证账号业务、系统录音/媒体权限或弱网验收。
## 已完成的 Android 基座证据