- 实施细粒度的可视性系统，用基于组件的分析取代整体式安全补丁。
- 通过与 OSV 数据库和 CVE 跟踪的集成，能够审核特定漏洞。
- 通过安全状态提供程序实现制造商和应用程序之间通信的标准化，以管理 OTA 更新。
坦白说，如今保护安卓智能手机的安全真是一件令人头疼的事。由于系统生态系统变得如此复杂，开发者过去常常依赖一个名为“安全补丁级别”（SPL）的非常笼统的指标，这就像试图仅凭上次大修的日期来判断房子是否安全，却完全不知道后门锁是否仍然坏着一样。
为了弥补这一信息缺口，AndroidX 安全状态库和安全状态提供程序库应运而生。这些工具具有颠覆性意义，能够提供系统各个角落的详细可见性，使软件真正具备抵御攻击的能力，并允许应用程序基于真实证据而非仅仅依靠假设做出智能决策，从而建立零信任模型。
告别单一补丁：粒度时代
依赖单一安全库 (SPL) 的主要问题在于，由于 Project Mainline 和 Google Play 系统更新，Android 目前的更新方式是零散的。为了规范这种混乱局面，新的库将安全机制分解为三大支柱：核心操作系统（通过 OTA 更新）、系统模块（通过 Google Play 提供）以及Linux 内核。Linux 内核是所有系统的基础，其安全等级以 LTS 版本而非每月发布日期来衡量。
对于这些组件中的每一个，都可以参考三种不同的状态，从而全面了解情况：
- 设备声压级（DSPL）： 它无需连接互联网即可显示设备在特定时刻安装和运行的程序。
- 已发布的 SPL（PSPL）： 这是安卓安全公告中正式发布的最新版本。
- 可用SPL（ASPL）： 它通过进程间通信 (IPC) 机制显示是否有已下载或准备安装的更新。
漏洞控制和 CVE 审计
其中一项核心功能是与开源漏洞（OSV）数据库的集成。现在无需再猜测某个月份的补丁是否修复了某个特定漏洞；可以通过编程方式跟踪特定的CVE编号。
这对于金融科技、银行或医疗保健应用来说简直是无价之宝，因为如果检测到设备上仍然存在关键的蓝牙或NFC漏洞，它们可以限制高价值转账或敏感数据的访问。例如，诸如越界写入libimagecodec.quram.so之类的漏洞可能允许远程攻击者执行任意代码，从而将过时的设备变成企业网络的后门。
实施技术和工作流
要使此功能正常运行，开发人员必须添加依赖项。 androidx.security:security-state:1.1.0 在您的 Gradle 文件中。初始化很简单，只需要一个 Android 上下文，不过如果直接将 JSON 格式的漏洞报告传递给构造函数，速度会更快。 安全补丁状态.
工作流程通常分为三种检查类型：
- 同步验证： 它们用于在应用程序启动时检查 DSPL，并将其与强制性基准日期进行比较。
- 异步查询： 通过
fetchAvailableSecurityPatchLevel该应用可以通知用户有待更新的内容，并将其重定向到设置页面。 - 深入审计： 连接器
queryAllAvailableUpdates您可以分析数据的新鲜度，并找出哪个更新提供商正在响应。
需要注意的是，支持情况会因系统版本而异。Android 11 及更高版本提供完整支持，而 Android 10 没有官方内核支持，在 Android 9 及更早版本中（由于当时没有 Project Mainline 模块），系统默认返回 Unix日期（1970-01-01）。
安全状态提供程序的作用以及 Android 17 中的新特性
整个系统要正常运行，就必须有人发布更新通知。安全状态提供程序 ( ASPL) 的作用就在于此，它规范了更新客户端向 ASPL 报告的方式。以前，每个制造商的 OTA 信息都各自独立存储在专有系统中；现在，任何授权应用都可以访问这些数据，而无需考虑手机品牌。
此外，Android 17通过补充补丁 XML文件为制造商 (OEM) 引入了一项强大的改进。这使得他们无需等待全球 SPL 发布即可声明自己实施的安全修复，从而确保正在进行的补丁工作能够立即得到认可，并且即使设备已修复，也不会显得存在漏洞。
AndroidX 安全生态系统中的其他工具
除了系统状态之外，还有其他关键组件。安全加密库对于管理密钥和加密文件或共享首选项至关重要。虽然某些版本的 JetSec 现已过时，但最好不要过度使用它来存储敏感数据，因为Android 的沙盒模型和基于文件的加密机制已经非常强大。
值得一提的是security-app-authenticator，它简化了基于应用程序签名身份验证其可信度的过程。该库使用包含包名和身份信息的 XML，确保只有合法的应用程序才能与关键系统组件交互。
通过向更详细的组件级检查过渡，能够通过 OSV 审核 CVE，以及实现 OTA 更新的标准化，AndroidX 安全状态已成为增强型移动安全的黄金标准。通过集成这些工具，关键工作流程将变得更加稳定可靠，最终用户始终能够免受数字环境中最新威胁的侵害。