release: harden Android network security
This commit is contained in:
key
@@ -42,13 +42,14 @@ npm --prefix mobile-uni run build:app
|
||||
npm --prefix mobile-uni run verify:app-release
|
||||
```
|
||||
|
||||
`configure:app-privacy` 会同时校验 HTTPS、公网域名、两个地址互不相同，并从模板生成被 Git 忽略的 `mobile-uni/src/androidPrivacy.json`；`build:app` 再将其复制到 `dist/build/app/androidPrivacy.json`。这两个位置都纳入门禁，避免 npm/Vite CLI 项目把配置误写到工程根目录而产生假绿。`verify:app-release` 还会确认：
|
||||
`configure:app-privacy` 会同时校验 HTTPS、公网域名、两个地址互不相同，并从模板生成被 Git 忽略的 `mobile-uni/src/androidPrivacy.json`；`build:app` 再将其复制到 `dist/build/app/androidPrivacy.json`，并把项目根的 `AndroidManifest.xml` 与 `nativeResources/android/res/xml/network_security_config.xml` 同步到云打包输入目录。源码和编译产物都纳入门禁，避免 npm/Vite CLI 项目把原生配置留在源码但未进入安装包而产生假绿。`verify:app-release` 还会确认：
|
||||
|
||||
- 首次与二次隐私弹窗使用同一组地址；
|
||||
- 原生弹窗地址与本次 App 编译使用的 `VITE_APP_TERMS_URL`、`VITE_APP_PRIVACY_URL` 完全一致；
|
||||
- 两个页面可通过公网 HTTPS 访问并包含可识别的协议正文；
|
||||
- `VITE_DEV_SMS_HINT_ENABLED` 与 `VITE_DEV_SMS_HINT_VALUE` 均未进入发布环境；
|
||||
- 编译产物不含手机号、固定测试验证码、私钥或常见云端/API 令牌格式。
|
||||
- Android 清单与网络安全配置均禁止明文 HTTP，并只信任系统证书。
|
||||
|
||||
登录页默认不勾选协议。协议地址缺失或不合规时，页面允许查看但禁止发送验证码和登录；测试验证码快捷提示只有开发环境同时显式设置 `VITE_DEV_SMS_HINT_ENABLED=true` 和本机 `VITE_DEV_SMS_HINT_VALUE` 才显示。源码不再内置固定验证码值。
|
||||
|
||||
@@ -64,23 +65,23 @@ HBuilderX 5.22 当前实测中，自定义调试基座不支持安心打包，
|
||||
|
||||
```powershell
|
||||
& '.\mobile-uni\scripts\verify-android-apk.ps1' `
|
||||
-ApkPath '.\mobile-uni\dist\debug\bangdao-0.1.6-dcloud-test.apk' `
|
||||
-ApkPath '.\mobile-uni\dist\debug\bangdao-0.1.8-dcloud-test.apk' `
|
||||
-BuildKind dcloud-test
|
||||
```
|
||||
|
||||
APK 门禁还会比较包内与当前 `dist/build/app/app-service.js` 的 SHA-256，避免用同版本号的旧包冒充当前源码，并在反编译结果中复查敏感文件、手机号、固定测试验证码、私钥和常见令牌格式。
|
||||
APK 门禁还会比较包内与当前 `dist/build/app/app-service.js` 的 SHA-256，避免用同版本号的旧包冒充当前源码，并在反编译结果中复查敏感文件、手机号、固定测试验证码、私钥和常见令牌格式；`dcloud-test` 与 `release` 模式都拒绝 `usesCleartextTraffic=true`。
|
||||
|
||||
完成代码评审并提交冻结后，从仓库根目录执行统一 RC 证据脚本。默认拒绝脏工作区；`-AllowDirtyRehearsal -SkipBuild` 只能用于验证脚本和 APK，生成的证据会明确标记为不可发布：
|
||||
|
||||
```powershell
|
||||
.\scripts\prepare-aug1-rc.ps1 `
|
||||
-ApkPath '.\mobile-uni\dist\debug\bangdao-0.1.6-dcloud-test.apk' `
|
||||
-ApkPath '.\mobile-uni\dist\debug\bangdao-0.1.8-dcloud-test.apk' `
|
||||
-BuildKind dcloud-test
|
||||
```
|
||||
|
||||
脚本会复跑移动端测试/类型检查/H5/App 构建、管理端构建、后端定向测试和打包，验证 APK 后在被 Git 忽略的 `output/aug1-rc/` 生成标准文件名、哈希及 JSON/Markdown 证据。它不执行生产同步、数据库迁移、服务重启或用户隐私选择。
|
||||
|
||||
2026-07-28 最终自定义基座大小为 `21,158,193` 字节，SHA-256 为 `82D3352FF96A86F5DB4AC0C71DCB0ED6CEC98F2A785F6EAED2FE8D4FC0C5F704`。2026-07-29 当前独立内测候选包为 `bangdao-0.1.6-dcloud-test.apk`：包名 `com.yincheng.wygj`、版本 `0.1.6 (106)`、`targetSdkVersion=35`，大小 `33,921,279` 字节，SHA-256 为 `A5F026B70F11327355597B9FEA3625C4168700297E6D7847F10B079CEB860914`，签名证书 SHA-256 为 `AB06ECC0DE544DE73C385F3F0690B22966EBC12887FB8BEE1830CDBEFDEBEF5D`。APK 反编译门禁已确认包内业务资源等于当前 App-Plus 编译产物，法务配置和敏感值扫描通过；同签名覆盖安装和冷启动成功，启动后敏感权限保持未授权且未见 `FATAL EXCEPTION`。前一候选包的干净启动已显示原生 template 隐私弹窗，两个链接均通过系统浏览器打开线上正文。该包使用 DCloud 云端证书，且 DCloud 运行壳仍声明允许明文流量，只能作为 8 月 1 日受控内测包；企业正式 release 门禁仍会拒绝明文流量和非企业签名。
|
||||
2026-07-28 最终自定义基座大小为 `21,158,193` 字节，SHA-256 为 `82D3352FF96A86F5DB4AC0C71DCB0ED6CEC98F2A785F6EAED2FE8D4FC0C5F704`。2026-07-29 当前独立内测候选包为 `bangdao-0.1.8-dcloud-test.apk`：包名 `com.yincheng.wygj`、版本 `0.1.8 (108)`、`targetSdkVersion=35`，大小 `33,921,705` 字节，SHA-256 为 `E252140645F3AAD14B3594FD78E76BDF1A2122F7DC70EBD21CC5DF53223C7878`，签名证书 SHA-256 为 `AB06ECC0DE544DE73C385F3F0690B22966EBC12887FB8BEE1830CDBEFDEBEF5D`。APK 反编译门禁已确认包内业务资源等于当前 App-Plus 编译产物，法务配置、敏感值扫描、`usesCleartextTraffic=false`、`networkSecurityConfig` 引用和系统证书信任配置均通过；本机 Android 15/API 35 虚拟机完成卸载重装、冷启动和权限基线复核，总启动耗时约 `2.9s`，四项敏感权限保持未授权且 crash 缓冲区为空。该包仍使用 DCloud 云端测试证书，只能作为 8 月 1 日受控内测包；企业正式 release 还必须使用签认后的企业证书摘要。
|
||||
|
||||
企业正式签名 APK 还必须用发布负责人保管的证书摘要执行 release 模式核验；该模式会额外拒绝 `debuggable=true`、明文 HTTP 和签名摘要不一致：
|
||||
|
||||
|
||||
Reference in New Issue
Block a user