本文主要是介绍国内大厂首次推出Android统一标准，真是威锐顾的，全套学习，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！
问题描述 合格用例 详细说明 安装，运行及卸载 - 1.应用在用户未授权情况下，不能进行程序下载、安装、或升级操作； - 2.应用在用户未授权情况下，不能执行自启动操作； - 3.应用在用户强制关闭或退出后，不能继续占用系统资源； 功能使用 - 1.应用在用户未授权情况下，不能执行拨打电话、发送短信等操作； - 2.应用在用户未授权情况下，不能执行摄像、录音、截屏等操作； - 3.应用在用户未授权情况下，不能打开或关闭如WiFi、蓝牙、GPS等； 数据操作 - 1.应用在用户未授权情况下，不能读写用户短信、联系人等隐私数据； - 2.应用在用户未授权情况下，不能收集或上报用户设备、系统及应用程序信息； - 3.应用在用户未授权情况下，不能修改系统配置等资源文件； - 4.应用在用户未授权情况下，不能修改其他应用程序的权限、数据等； 行为规范 - 1.应用在用户未授权情况下，不能进行消费操作； - 2.应用不能包含故意破坏用户使用体验、阻碍用户正常使用手机或应用的任何行为； - 3.应用中不能包含任何侵犯用户知情权、选择权的恶意行为； - 4.应用在用户未授权情况下，不能利用漏洞等方式获取系统控制权限，进行非授权操作； - 5.如无必要的使用场景，应用不能在桌面、锁屏和其他应用上，弹出悬浮窗、自定义后台Toast、后台弹出Activity等骚扰用户的行为； 1.应用锁屏通知开关处于关闭状态时，禁止在锁屏弹出任何信息。
2.仅允许导航、音乐、运动健康类应用的主功能，在锁屏上显示全屏覆盖界面；例如导航-路线导航、音乐-音乐播放、运动健康-记步轨迹。其他标准 | | |
3.2 开发安全标准
注：权限的申请和使用应满足最小化原则。
问题描述 合格用例 详细说明 1.权限管理 - 1)不申请不需要使用的权限，为自定义权限设置合理的安全保护级别； 申请权限满足最小化原则，申请权限申请的权限全部为应用功能所需，不申请多余的权限；应用自定义权限，自行根据数据和行为的安全敏感度，设置合理的安全保护级别。 - 2)应用申请的权限，都必须有明确、合理的功能和使用场景； 使用权限满足最小化原则，只有使用应用的某个功能，而对应到的某个权限为该功能和合理要求时，才允许使用相应权限。比如某聊天软件，必须在进行视频聊天、拍照等功能需要的场景下，才允许使用摄像头，而在其附属的新闻浏览功能中，不允许使用摄像头。 - 3)TargetSdkVersion>=23，必须适配Android M及以后版本的动态权限机制。 必须适配Android M及以后版本的动态权限机制，并且强烈建议适配到Android O（TargetSdkVersion>=26）。 - 4)对于非核心权限，应用不能在权限动态弹框授权提示被用户拒绝后，强制要求用户开启，包括但不限于：a.应用退出；b.弹框提醒用户打开>=2次； 2.功能项管理 关闭不需要及有风险的功能选项，如数据备份功能、调试功能； 3.组件管理 组件声明的合理性，避免导出不需要外部调用的组件，如需导出应设置合理的权限保护；
问题描述 合格用例 1.基础编码安全规范 1) 保证开发环境的安全性，如使用官方渠道下载的开发工具；
避免硬编码关键数据，如加密密钥、后端服务器敏感信息等； 应用代码净化，代码逻辑优化、剔除应用中的死代码块； 统一的日志管理接口，避免在日志中记录敏感信息； 应用发布之前，关闭调试接口和调试日志。 | 熟悉并遵从安全规范，避免遗漏安全限制操作，引入安全风险； 对关键操作身份校验和权限检查； | 权限控制。确认引入代码所需使用的权限最小化； 更新维护。关注代码的安全动态和版本更新情况，及时修复安全问题，更新代码； 安全保护。对引入的代码进行混淆，防止攻击者针对性的攻击； | 加固保护。使用自研或者第三方加固系统进行应用加固，进行代码隐藏和加密保护； | 问题描述 合格用例 1.数据加密安全规范 1) 数据密文和加密密钥应存放在不同的位置；
密钥存储模块应具备防调试及反编译的能力； 密钥数据应分散存储，为获取密钥密文增大难度 | 应用程序中的隐私数据应加密存储。用于加密的密钥应妥善保存； 禁止程序运行日志中包含有用户敏感数据、程序调试数据等； | 数据完整和有效性保护。对于接收到的外部数据、加载的外部文件，进行完整、有效性性检查； | 问题描述 合格用例 1.本地通信安全 1) intent数据安全。避免在intent包含用户敏感数据，从intent中获取数据时加入必要的异常处理；
intent scheme url 协议安全。使用过程中加入安全限制，防止UXSS等安全问题； 组件调用方式安全。避免通过隐式方式进行调用组件，防止组件劫持； 本地socket通信安全。避免是使用socket方式进行本地通信，如需使用，localhost端口号随机生成，并对端口连接对象进行身份认证和鉴权； | 避免进行远程端口开发通信，如需使用，需要对端口连接对象进行身份认证和鉴权； | 问题描述 合格用例 1.认证和授权 1) 认证和授权过程应在服务器端完成，避免客户端绕过问题；
对于涉及敏感信息的服务，每次使用前需进行身份认证； 控制登录凭证token有效期，通信过程中进行token鉴权； 避免在终端设备上使用不安全的方法来存储用户名、口令及其它登录凭证； 用户密码需要使用强不可逆的加密算法加密后传输，并引入salt，提高破解难度； 账户号和终端设备信息进行绑定，防止终端模拟攻击； | 逻辑设计。确保业务逻辑设计、分支条件及边界条件处理的正确性和完备性，防止不可控执行流程； 工作分配。确保服务端和客户端分工正确，防止一些应该放在服务端的校验工作设置在了客户端，造成权限校验绕过； 业务数据。关键业务数据防篡改、防伪造、防重放； 短信验证码安全。禁止验证码回传行为，验证码至少6位,同时严格限定验证码时效； | 安全动态跟踪及预警、安全事件排查、漏洞修复； | 问题描述 合格用例 运行环境安全 1) 运行期重打包检测；
模拟器运行环境检测； 调试、注入操作监控； root环境运行检测； | 问题描述 合格用例 隐私安全 1) 涉及到应用下载软件、对用户系统或软件升级等修改用户个人空间的行为，须得到用户的同意
收集或使用个人数据前，须明确提示用户，并获得用户的明示同意，并且允许用户随时关闭对个人数据的收集和使用 默认禁止收集数据主体的敏感个人数据，除非业务必需（如：运动健康类业务）或为了满足法律与监管机构要求可收集和处理（含profiling），并且同意应该单独收集 应提供对用户的同意和撤销同意行为进行记录的机制 隐私声明内容发生变化时，须告知用户查看并获得用户同意 个人数据收集范围、使用目的不得超出隐私声明，且遵循最小化原则，当个人数据的采集范围、使用目的发生变更时，应及时更新隐私声明 于存储个人数据的系统，需对存储的个人数据定义存留期 数据主体撤销同意之后，产品必须禁止继续收集和处理其相应个人数据 将数据主体个人数据提供给第三方前，必须获得数据主体的同意 推送的内容（含广告）必须是符合政治、法律和宗教要求，并且推送频度不能干扰用户正常使用 第三方应用软件调用移动智能终端敏感功能时，应先获得用户明确同意 第三方应用软件对用户数据操作时，应先获得用户明确同意 应用软件不得申请和调用与提供服务无关的终端功能 | 问题描述 判定标准 合格用例 特殊考虑事项 后台处理器占用 测量应用在后台时对处理器的占用及Wake Lock设置情况 1. 平均每小时占用处理器累计时间不超过90秒，即处理器平均占用率不超过2.5% 2. 禁止应用设置WakeLock 以下场景除外：
1. 后台播放视频、音乐或观看直播时
5.1 适用范围
应用类型 核心场景 便捷生活类 进入应用主功能界面 出行导航类 进入位置搜索页面 购物比价类 进入购物首页，页面含商品列表、搜索栏等。 拍摄美化 进入应用主功能界面 社交通讯类 登陆后进入主界面收/发消息 或：登陆后进入主界面 实用工具 邮箱类：启动应用 - 登陆邮箱 - 收取邮件（邮箱内已有邮件列表超过10封） 新闻阅读类 启动应用 - 进入首页 - 刷新新闻列表 -滑动新闻列表 学习办公 进入应用主功能界面 影音娱乐 进入应用主功能界面 游戏 进入应用主功能界面
5.2 性能测试标准
这篇关于国内大厂首次推出Android统一标准，真是威锐顾的，全套学习的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！
