- 實施細粒度的可視性系統，以基於組件的分析取代整體式安全性修補程式。
- 透過與 OSV 資料庫和 CVE 追蹤的集成，能夠審核特定漏洞。
- 透過安全狀態提供者實現製造商和應用程式之間通訊的標準化，以管理 OTA 更新。
坦白說，如今保護安卓智慧型手機的安全真是一件令人頭痛的事。由於系統生態系統變得如此複雜，開發者過去常常依賴一個名為“安全補丁級別”（SPL）的非常籠統的指標，這就像試圖僅憑上次大修的日期來判斷房子是否安全，卻完全不知道後門鎖是否仍然壞著一樣。
為了彌補這一資訊缺口，AndroidX 安全狀態庫和安全狀態提供者庫應運而生。這些工具具有顛覆性意義，能夠提供系統各個角落的詳細可見性，使軟體真正具備抵禦攻擊的能力，並允許應用程式基於真實證據而非僅依靠假設做出智慧決策，從而建立零信任模型。
告別單一補丁：粒度時代
依賴單一安全性庫 (SPL) 的主要問題在於，由於 Project Mainline 和 Google Play 系統更新，Android 目前的更新方式是零散的。為了規範這種混亂局面，新的程式庫將安全機制分解為三大支柱：核心作業系統（透過 OTA 更新）、系統模組（透過 Google Play 提供）以及Linux 核心。 Linux 核心是所有系統的基礎，其安全等級以 LTS 版本而非每月發布日期來衡量。
對於這些組件中的每一個，都可以參考三種不同的狀態，從而全面了解情況：
- 設備聲壓級（DSPL）： 它無需連接互聯網即可顯示設備在特定時刻安裝和運行的程式。
- 已發布的 SPL（PSPL）： 這是安卓安全公告中正式發布的最新版本。
- 可用SPL（ASPL）： 它透過進程間通訊 (IPC) 機制顯示是否有已下載或準備安裝的更新。
漏洞控制和 CVE 審計
其中一項核心功能是與開源漏洞（OSV）資料庫的整合。現在無需再猜測某個月份的補丁是否修復了某個特定漏洞；可以透過程式設計追蹤特定的CVE編號。
這對金融科技、銀行或醫療保健應用來說簡直是無價之寶，因為如果偵測到裝置上仍有關鍵的藍牙或NFC漏洞，它們可以限制高價值轉帳或敏感資料的存取。例如，諸如越界寫入libimagecodec.quram.so之類的漏洞可能允許遠端攻擊者執行任意程式碼，從而將過時的裝置變成企業網路的後門。
實施技術和工作流程
要使此功能正常運行，開發人員必須添加依賴項。 androidx.security:security-state:1.1.0 在您的 Gradle 檔案中。初始化很簡單，只需要一個 Android 上下文，不過如果直接將 JSON 格式的漏洞報告傳遞給建構函數，速度會更快。 安全補丁狀態.
工作流程通常分為三種檢查類型：
- 同步驗證： 它們用於在應用程式啟動時檢查 DSPL，並將其與強制性基準日期進行比較。
- 非同步查詢： 通過
fetchAvailableSecurityPatchLevel該應用程式可以通知用戶有待更新的內容，並將其重定向到設定頁面。 - 深入審計： 同
queryAllAvailableUpdates您可以分析資料的新鮮度，並找出哪個更新提供者正在回應。
需要注意的是，支援情況會因係統版本而異。 Android 11 及更高版本提供完整支持，而 Android 10 沒有官方內核支持，在 Android 9 及更早版本中（由於當時沒有 Project Mainline 模組），系統默認返回 Unix日期（1970-01-01）。
安全狀態提供者的作用以及 Android 17 中的新特性
整個系統要正常運作，就必須有人發布更新通知。安全狀態提供者 ( ASPL) 的作用就在於此，它規範了更新用戶端向 ASPL 報告的方式。以前，每個製造商的 OTA 資訊都各自獨立儲存在專有系統中；現在，任何授權應用程式都可以存取這些數據，而無需考慮手機品牌。
此外，Android 17透過補充補丁 XML檔案為製造商 (OEM) 引入了一項強大的改進。這使得他們無需等待全球 SPL 發布即可聲明自己實施的安全修復，從而確保正在進行的修補程式工作能夠立即得到認可，並且即使設備已修復，也不會顯得存在漏洞。
AndroidX 安全生態系統中的其他工具
除了系統狀態之外，還有其他關鍵元件。安全加密庫對於管理金鑰和加密檔案或共用首選項至關重要。雖然某些版本的 JetSec 現已過時，但最好不要過度使用它來儲存敏感數據，因為Android 的沙盒模型和基於檔案的加密機制已經非常強大。
值得一提的是security-app-authenticator，它簡化了基於應用程式簽名身份驗證其可信度的過程。該程式庫使用包含套件名稱和身分資訊的 XML，確保只有合法的應用程式才能與關鍵系統元件互動。
透過向更詳細的組件級檢查過渡，能夠通過 OSV 審核 CVE，以及實現 OTA 更新的標準化，AndroidX 安全狀態已成為增強型行動安全的黃金標準。透過整合這些工具，關鍵工作流程將變得更加穩定可靠，最終用戶始終能夠免受數位環境中最新威脅的侵害。