fix(release): close fixed-code mobile auth gaps
This commit is contained in:
key
@@ -64,7 +64,7 @@ HBuilderX 5.22 当前实测中，自定义调试基座不支持安心打包，
|
||||
|
||||
```powershell
|
||||
& '.\mobile-uni\scripts\verify-android-apk.ps1' `
|
||||
-ApkPath '.\mobile-uni\dist\debug\bangdao-0.1.12-dcloud-test.apk' `
|
||||
-ApkPath '.\mobile-uni\dist\debug\bangdao-0.1.13-dcloud-test.apk' `
|
||||
-BuildKind dcloud-test
|
||||
```
|
||||
|
||||
@@ -74,13 +74,13 @@ APK 门禁还会比较包内与当前 `dist/build/app/app-service.js` 的 SHA-25
|
||||
|
||||
```powershell
|
||||
.\scripts\prepare-aug1-rc.ps1 `
|
||||
-ApkPath '.\mobile-uni\dist\debug\bangdao-0.1.12-dcloud-test.apk' `
|
||||
-ApkPath '.\mobile-uni\dist\debug\bangdao-0.1.13-dcloud-test.apk' `
|
||||
-BuildKind dcloud-test
|
||||
```
|
||||
|
||||
脚本会复跑移动端测试/类型检查/H5/App 构建、管理端构建、后端定向测试和打包，验证 APK 后在被 Git 忽略的 `output/aug1-rc/` 生成标准文件名、哈希及 JSON/Markdown 证据。它不执行生产同步、数据库迁移、服务重启或登录页人工同意操作。
|
||||
|
||||
2026-07-28 最终自定义基座大小为 `21,158,193` 字节，SHA-256 为 `82D3352FF96A86F5DB4AC0C71DCB0ED6CEC98F2A785F6EAED2FE8D4FC0C5F704`。2026-07-29 当前独立内测候选包为 `bangdao-0.1.12-dcloud-test.apk`：包名 `com.yincheng.wygj`、版本 `0.1.12 (112)`、`targetSdkVersion=35`，大小 `33,921,458` 字节，SHA-256 为 `DD24E5F20BC7C064F5059E538A1FAB7518DF46CBAB502F59A3629F0B1B1F5EBB`，签名证书 SHA-256 为 `AB06ECC0DE544DE73C385F3F0690B22966EBC12887FB8BEE1830CDBEFDEBEF5D`。APK 反编译门禁确认包内业务资源等于当前 App-Plus 编译产物、启动原生隐私提示已关闭、登录页法务链接与未勾选拦截已进入包体，并通过敏感值、`usesCleartextTraffic=false`、`networkSecurityConfig` 和系统证书信任检查。本机 Android 15/API 35 虚拟机全新安装后确认原生隐私层不可见、四项敏感权限未授权且无 Crash/ANR。统一 RC 在干净提交 `b9e08789` 上复跑移动端 199/199、`ruoyi-aihr` 698/698 及全部构建/校验门禁，证据为 `output/aug1-rc/0.1.12-112-b9e08789-frozen/`。该 x86_64 虚拟机无法可靠运行仅含 ARM ABI 的 DCloud Weex 页面，登录页和业务路径必须改由 ARM64 真机验收。该包仍使用 DCloud 云端测试证书，只能作为 8 月 1 日受控内测包；企业正式 release 还必须使用签认后的企业证书摘要。
|
||||
2026-07-28 最终自定义基座大小为 `21,158,193` 字节，SHA-256 为 `82D3352FF96A86F5DB4AC0C71DCB0ED6CEC98F2A785F6EAED2FE8D4FC0C5F704`。2026-07-29 当前独立内测候选包为 `bangdao-0.1.13-dcloud-test.apk`：包名 `com.yincheng.wygj`、版本 `0.1.13 (113)`、`targetSdkVersion=35`，大小 `33,921,543` 字节，SHA-256 为 `FA2D2A6DC84AE759714E6D16D146C1E1552A0F3F53C046069422012361D1D0C0`，签名证书 SHA-256 为 `AB06ECC0DE544DE73C385F3F0690B22966EBC12887FB8BEE1830CDBEFDEBEF5D`。APK 反编译门禁确认包内业务资源等于当前 App-Plus 编译产物、启动原生隐私提示已关闭、登录页法务链接与未勾选拦截及身份加载失败关闭已进入包体，并通过敏感值、`usesCleartextTraffic=false`、`networkSecurityConfig` 和系统证书信任检查。`0.1.12` 及其 RC/交付 ZIP 只保留为上一冻结基线；`0.1.13` 仍须在干净提交上完成统一 RC 才能标记为新冻结候选。当前 AVD 为 `x86_64`，APK 原生库仅含 `arm64-v8a/armeabi-v7a`；安装和原生外壳可由系统转译运行，但 DCloud Weex JS 进程实际出现 `spinWaitPeer`/IPC 超时，页面主体空白不能用于判断产品页面。浏览器验证只作补充，不替代 App 运行；不会为了模拟器改变正式 ABI、回退为 H5 壳或增加业务兜底。该包仍使用 DCloud 云端测试证书，只能作为 8 月 1 日受控内测包；企业正式 release 还必须使用签认后的企业证书摘要。
|
||||
|
||||
企业正式签名 APK 还必须用发布负责人保管的证书摘要执行 release 模式核验；该模式会额外拒绝 `debuggable=true`、明文 HTTP 和签名摘要不一致：
|
||||
|
||||
|
||||
Reference in New Issue
Block a user