App 加固 PoC 如何形成发布结论

先冻结对象和范围

记录原始包、加固候选包、签名身份、保护配置和目标发布渠道。所有测试使用同一候选身份。

同时写清系统版本、ABI、第三方 SDK 和关键业务路径，未覆盖项必须保留。

• 候选包身份
• 签名与版本
• 设备和系统范围
• 关键业务路径

建立可比较的基线

在相同条件下观察未加固包和候选包的安装升级、启动、关键路径、崩溃和资源表现。

结果需要包含条件和复核方法，不能只保留一个脱离上下文的数字。

失败也要形成有效证据

失败时记录最早偏离阶段、稳定复现条件和影响范围，再区分保护配置、构建链、第三方 SDK 和业务代码。

能够稳定归因的失败比无法复现的成功更有助于发布决策。

• 最早失败阶段
• 复现条件
• 影响范围
• 修复后回归

发布门禁必须包含回滚

确定灰度范围、关键观测、停止条件和可恢复版本。若当前覆盖不足，应收窄发布范围，而不是把未知项改写成通过。