App 加固后 ContentProvider 启动顺序怎样回归：清单、依赖与多进程

回归目标不是背诵顺序，而是证明依赖始终成立

ContentProvider 常被 SDK 或基础设施用于进程启动阶段的自动初始化。加固、混淆、组件合并或依赖升级可能改变类加载、反射入口、桥接代码和异常路径。首页最终显示并不能证明 Provider 顺序正确，因为初始化失败可能被吞掉，也可能只影响后台组件、远程进程或稍后访问。

可靠回归需要回答四个问题：最终候选声明了哪些 Provider；每个 Provider 在哪个进程出现；运行时事件是否满足显式依赖；失败是否留下可关联证据。顺序只是证据的一部分，真正的验收条件是业务前置状态在使用前已经可用，并且重复初始化或异常恢复不会破坏状态。

工程上应同时测试未加固基线和加固候选，使用相同源码、variant、依赖、签名阶段、应用数据和设备条件。两者都要绑定 APK SHA-256。若重新构建或重新签名，旧的 Provider 事件即失效，不能凭版本名相同继续复用。

以合并 Manifest 为组件事实源，而不是只看源码模块

Android app manifest 说明 Manifest 定义应用组件、权限、intent filter、SDK 约束和应用元数据。一个工程的最终清单可能来自主模块、库清单、构建变体和合并规则。源码中没有显式 Provider 类，不代表最终 APK 没有由依赖引入的声明；反之，源码存在也不保证当前 variant 会发布。

回归前应从当前候选对应的合并结果导出 Provider 快照，至少包含规范化类名、authority、process、exported、enabled、directBootAware、读写权限和元数据摘要。不同字段解决不同风险：process 决定事件边界，authority 关系到调用身份，direct boot 状态会改变用户解锁前后的可用条件。

静态快照只能证明声明意图。业务代码仍可能在运行时改变访问路径或根据进程、用户状态和配置走不同分支。工程判断是把清单快照作为测试输入，再用设备事件确认实际初始化。任何声明增删、进程变化或 authority 变化都应触发专项回归，而不是只比较 Provider 数量。

把隐式先后关系改写为可验证的依赖图

最脆弱的设计是 Provider B 在启动时直接读取 Provider A 写入的全局对象，却没有显式契约。开发机上看似稳定的先后关系，可能因依赖升级、清单合并、进程变化、异常恢复或加固后的类加载路径而改变。XML 中的相邻位置不是足以审计的业务依赖证明。

依赖图应使用稳定 componentId，而不是只使用易变的类名。每条边记录 requiredState、sameProcess、failurePolicy 和 contractVersion。例如密钥配置完成、日志通道可用或数据库 schema 就绪都应成为状态，不要把“某类 onCreate 已执行”当作唯一条件，因为执行返回不等于状态有效。

启动事件最少记录 entered、dependencyChecked、ready 或 failed。若前置状态缺失，Provider 应按批准策略快速失败、降级或延后，而不是在主线程无限等待。回归工具需要检查事件序列、状态结果和候选身份；通过顺序门禁只说明已声明依赖得到满足，不证明业务功能完整。

多进程必须拆成独立时间线和状态边界

Provider 可声明到主进程或命名远程进程。每个进程拥有自己的启动、类加载、内存和故障边界，因此不能把不同 PID 的时间戳排序后声称存在全局先后。两个进程的时钟记录、调度和创建条件也不同，跨进程依赖需要明确 IPC 或持久化协议。

加固回归要按 processName 和 processInstanceId 分组。一个远程进程可能在主界面出现前被外部组件唤起，也可能直到特定业务路径才创建。测试应覆盖冷启动主进程、直接访问远程 Provider、进程被终止后的重建，以及用户解锁前后适用的状态。

若 Provider B 位于远程进程却依赖主进程内的单例 A，这不是顺序问题，而是架构边界错误。工程判断是将所需状态移入受控持久化或显式 IPC，并验证版本、超时和失败策略。测试报告应把跨进程边标为不可由本地序列证明，禁止用日志时间近似替代。

启动顺序正确后，还要检查主线程成本和首屏边界

Android app startup time 区分 TTID 与 TTFD，并要求理解冷、温、热启动状态。Provider 初始化通常发生在用户界面完全可用之前，若在其中执行磁盘扫描、网络等待、Native 初始化或大规模解密，依赖顺序可能正确，首帧和可交互时间仍会受到影响。

性能对比必须固定候选、启动类型、设备、系统、应用数据和业务路径，并执行足够重复的受控测量。单次耗时容易受安装后编译、缓存、后台负载和温度影响，不能写成加固造成的确定性变化。报告应保存原始样本和环境，而不是只保存平均值。

工程上可以为每个 Provider 记录 enteredAt、readyAt 和 mainThreadWorkCategory，但不应在公共代码中硬编码通用毫秒阈值。项目应根据产品启动预算和真实基线设置边界。Provider 内非必要工作宜延后，但延后不能破坏依赖；先把必需状态和可延期工作拆开，再验证 TTFD。

ANR 与退出记录要回连到具体 Provider 事件

Diagnose Android ANRs 建议按主线程阻塞、锁竞争、Binder、I/O 和组件超时等类型定位。Provider 初始化中的同步磁盘访问、跨进程调用或锁等待都可能使启动异常，但 trace 顶部看到的等待点不一定是最初阻塞源，需要沿锁持有者和调用时间线继续追踪。

Android ApplicationExitInfo 可提供历史进程退出原因、ANR trace，并在适用新版本提供 Native tombstone。退出证据应绑定 package、process、candidateSha256、versionCode、复现时间窗和 caseId。加固后堆栈还可能需要对应 mapping 或 Native 符号材料，旧候选诊断不能用于新包。

诊断事件与 Provider 事件使用同一 runId 后，才能回答 failed 之前发生了什么、主线程卡在哪个阶段以及哪个进程退出。退出原因本身不能确定业务根因；没有 trace 或时间线时应标记证据不足。敏感堆栈、tombstone 和客户数据需要受控存储，公开报告只保留必要摘要。

设备端测试覆盖依赖、异常、幂等与系统变化

Android instrumented tests 在真实 Android 环境执行，可访问组件和系统 API，适合验证 Provider 启动、authority 访问、多进程、持久化与异常恢复。测试不应只断言 onCreate 返回成功，还要检查所需状态、依赖顺序、重复触发、进程重建和允许副作用。

Android 16 all-app behavior changes 说明部分平台变化不依赖 targetSdk，旧目标版本应用也需在新系统回归。Provider 路径可能受到平台资源、后台、权限或运行时变化间接影响，但平台文档不会说明某个加固候选一定失败。测试要绑定实际系统与候选，不用平台列表替代复现。

单一设备通过不能代表完整 API、ABI 和厂商矩阵。先用确定设备定位顺序和依赖，再在支持矩阵中覆盖不同系统、架构、厂商和用户状态。每次结果都要绑定合并清单摘要和 APK 摘要；若清单或处理配置变化，应重新执行相关场景。

• 基线包与加固包来自同一源码和 variant
• 合并 Manifest 快照绑定候选摘要
• 主进程与远程进程分别执行
• 依赖状态而非仅回调顺序被断言
• 重复初始化和进程重建保持幂等
• 异常、降级和超时策略可观察
• Android 版本与设备矩阵真实记录

用清单和运行事件校验器检查进程内依赖

下面的 Python 示例读取最终合并 Manifest、Provider 依赖契约和一次设备运行事件。它规范化 Provider 类名与进程名，确认契约组件确实声明在清单中，再按 sequence 校验每个依赖是否在同一进程先完成。事件还必须绑定调用方提供的候选 SHA-256。

若清单字段缺失、候选摘要不符、事件重复、依赖组件不存在或顺序逆转，脚本返回非零状态。跨进程依赖被明确标为无法由本地序列证明并阻断结果，要求改用显式 IPC 或持久化契约。脚本不执行攻击，也不读取私钥、内部地址或客户数据。

准备 ContentProvider 启动回归时，可整理基线与加固 APK、合并 Manifest、依赖图、进程事件、TTID 与 TTFD 样本、ANR 和退出材料以及设备矩阵，再通过御盾中央平台提交申请。顺序门禁通过只证明所列进程内依赖满足，不证明完整兼容或保护强度。

• 使用最终合并 Manifest 而非源码片段
• 类名和默认进程完成规范化
• 运行事件绑定精确候选摘要
• 每个 Provider 事件在单次运行唯一
• 依赖必须先达到 ready 状态
• 跨进程边不伪造全局顺序
• 失败返回非零状态阻止误放行

from pathlib import Path
import json
import re
import sys
import xml.etree.ElementTree as ET

if len(sys.argv) != 5:
    raise SystemExit(2)
manifest_path = Path(sys.argv[1])
contract_path = Path(sys.argv[2])
events_path = Path(sys.argv[3])
expected_candidate = sys.argv[4].lower()
if any(not path.is_file() for path in [manifest_path, contract_path, events_path]):
    raise SystemExit(2)
if not re.fullmatch(r"[0-9a-f]{64}", expected_candidate):
    raise SystemExit(2)
root = ET.parse(manifest_path).getroot()
package_name = root.attrib.get("package", "")
android = "{http://schemas.android.com/apk/res/android}"
application = root.find("application")
if not package_name or application is None:
    raise SystemExit(2)

def qualified(name):
    if name.startswith("."):
        return package_name + name
    if "." not in name:
        return package_name + "." + name
    return name

declared = {}
for node in application.findall("provider"):
    name = qualified(node.attrib.get(android + "name", ""))
    process = node.attrib.get(android + "process", package_name)
    if not name or name in declared:
        raise SystemExit(2)
    declared[name] = process
contract = json.loads(contract_path.read_text(encoding="utf-8"))
events = json.loads(events_path.read_text(encoding="utf-8"))
if not isinstance(contract, dict) or not isinstance(events, list):
    raise SystemExit(2)
observed = {}
for event in events:
    name = qualified(str(event.get("provider", "")))
    if event.get("candidateSha256", "").lower() != expected_candidate:
        raise SystemExit(2)
    if name not in declared or name in observed or not isinstance(event.get("sequence"), int):
        raise SystemExit(2)
    observed[name] = event
violations = []
for provider, dependencies in contract.items():
    name = qualified(provider)
    if name not in declared or name not in observed or not isinstance(dependencies, list):
        raise SystemExit(2)
    for dependency in dependencies:
        required = qualified(dependency)
        if required not in declared or required not in observed:
            raise SystemExit(2)
        if declared[required] != declared[name]:
            violations.append({"provider": name, "dependency": required, "reason": "cross-process-order-unverifiable"})
        elif observed[required]["sequence"] >= observed[name]["sequence"] or observed[required].get("status") != "ready":
            violations.append({"provider": name, "dependency": required, "reason": "dependency-not-ready-first"})
report = {"status": "pass" if not violations else "blocked", "candidateSha256": expected_candidate, "declaredProviders": declared, "violations": violations}
print(json.dumps(report, ensure_ascii=False, indent=2))
if violations:
    raise SystemExit(3)