“我报名参加金石计划1期挑战——瓜分10万奖池，这是我的第4篇文章，[点击查看活动详情](https://s.juejin.cn/ds/jooSN7t "https://s.juejin.cn/ds/jooSN7t")” ## 前言记录一下关于 Android 中关于混淆配置文件的生效规则、混淆规则的细节、build 产物中和混淆相关的内容及其作用。 ## 混淆配置生效规则现在的 Android 项目一般由一个主 `app module`，n 个子 `lib module` 共同组成。 `app module` 通过 dependencies 闭包依赖这些子 module ，或者是将这些子 module 上传到中央仓库之后进行依赖。 ```gradle if (source_code.toBoolean()) { implementation project(path: ':thirdlib') } else { implementation 'com.engineer.third:thirdlib:1.0.0' } implementation project(path: ':compose') implementation project(path: ':common') implementation 'androidx.navigation:navigation-fragment-ktx:2.5.2' ... ``` 比如对于下图中的几个子 `module` 可以通过 `project(path: 'xxx')` 的方式依赖，也可以将这个本地 module 上传到中央仓库之后通过 `group_id:artifact_id:version` 的方式依赖。那么这两种方式依赖由哪些差异呢？ - 远程依赖会比直接在本地依赖节省一些编译时间 (当然这不包括下载依赖本身耗费的时间)，毕竟可以省去编译源码及资源的时间。 - 对于混淆来说，这两种依赖方式混淆配置规则的生效是有些差异的。**这里的差异是说混淆配置文件的差异，而不是说具体的一条混淆配置语法会有差异** 。下面具体来说一下这个差异。关于混淆配置，除了各个 moudle 下我们非常熟悉的肉眼可见 `proguard-rules.pro` 之外，其实还有别的混淆配置，最终会合并在一起生效。说到各个 module 的配置文件合并，大家一定会想到 AndroidManifest.xml 。最终打包使用的 AndroidManifest.xml 的内容，就是各个子 module 和主 module merge 后的结果。需要注意的是，Android 打包过程**并不会主动合并本地 module 中的 `proguard-rules.pro` 文件** 。注意，这里说的是本地 module . ![module_structure.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/81e03af2ad6f442eb81a9e2d36413053~tplv-k3u1fbpfcp-watermark.image?) 也就是说像 common/thirdlib/compose 这类直接在本地依赖的 module, 其内部的 `proguard-rules.pro` 并不会直接生效。而通过 `implementation group_id:artifact_id:version` 依赖的远程 module ,如果其内部有配置 proguard 规则，就会 merge 到最终的混淆配置中。上一篇 [发布 Android Lib 到 Maven 解惑](https://juejin.cn/post/7144712912521658382) 中我们提到， `library` 通过 gradle 任务发布到中央仓库的时候，会基于本地 `consumer-rules.pro` 生成最终的 `proguard.txt` 文件一并打包到 aar 文件中；这里 merge 的就是这个自动生成的 `proguard.txt`。而最终的混淆配置规则叠加到一起之后，在 `app/build/outputs/mapping/huaweiLocalRelease/configuration.txt` 这个文件里。这个文件是有规则的，会按照段落列出编译过招中所涉及的模块。 ```java 001:# The proguard configuration file for the following section is D:\workspace\MinApp\app\build\intermediates\default_proguard_files\global\proguard-android-optimize.txt-7.2.1 121:# The proguard configuration file for the following section is D:\workspace\MinApp\app\proguard-rules.pro 182:# The proguard configuration file for the following section is D:\workspace\MinApp\app\build\intermediates\aapt_proguard_file\huaweiLocalRelease\aapt_rules.txt 392:# The proguard configuration file for the following section is D:\workspace\MinApp\common\build\intermediates\consumer_proguard_dir\release\lib0\proguard.txt 395:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\89e35bb901a511dc73379ee56d9a96fb\transformed\navigation-ui-2.3.5\proguard.txt 416:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\ed14b9608e236c3cb341584bd1991f2a\transformed\material-1.5.0\proguard.txt 465:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\38b91e3dad918eabe8ced61c0f881bef\transformed\jetified-stetho-1.6.0\proguard.txt 470:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\380c0daab5f38fa92451c63d6b7f2468\transformed\preference-1.1.1\proguard.txt 494:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\a00816a85507c4640738406281464e4f\transformed\appcompat-1.4.1\proguard.txt 519:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\19a9b30d1e238c7cf954868475b2d87a\transformed\navigation-common-ktx-2.3.5\proguard.txt 541:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\bc1e654ac594a8eec67d83a310d595cd\transformed\rules\lib\META-INF\com.android.tools\r8-from-1.6.0\kotlin-reflect.pro 559:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\822d22c7ed69ccdf4d90c18a483e72c5\transformed\rules\lib\META-INF\com.android.tools\r8-from-1.6.0\coroutines.pro 585:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\555542c94d89a20ac01618f64dfcfed2\transformed\rules\lib\META-INF\proguard\coroutines.pro 608:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\a830f069563364388aaf53b586352be8\transformed\jetified-glide-4.13.1\proguard.txt 625:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\9ce146a7d8708a759f2821d06606c176\transformed\jetified-flexbox-1.0.0\proguard.txt 647:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\003c1e88ccf7eabdb17daba177d5544b\transformed\jetified-hilt-lifecycle-viewmodel-1.0.0-alpha03\proguard.txt 654:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\2675f8213875fddbbb3d30c803c00c9c\transformed\jetified-hilt-android-2.40.1\proguard.txt 665:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\3368f9a73434dea0d4e52626ffd9a8c9\transformed\fragment-1.3.6\proguard.txt 687:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\58278e1b3a97715913034b7b81fae8cb\transformed\jetified-lifecycle-viewmodel-savedstate-2.3.1\proguard.txt 697:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\cb4d77137f22248d78cd200f94d17fc4\transformed\jetified-savedstate-1.1.0\proguard.txt 717:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\6a6fcb77b4395418002e332cd9738bfb\transformed\work-runtime-2.7.0\proguard.txt 728:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\4ab9d68c51a5e06d113a80174817d2cc\transformed\media-1.0.0\proguard.txt 753:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\5599788d3c018cf9be3c21d9a4ff4718\transformed\coordinatorlayout-1.1.0\proguard.txt 778:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\0e108ece111c1c104d1543d98f952017\transformed\vectordrawable-animated-1.1.0\proguard.txt 800:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\19c137c4f40e8110221a03964c21b354\transformed\recyclerview-1.1.0\proguard.txt 827:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\9eb9006bf5796c20208d89f414c860f8\transformed\transition-1.3.0\proguard.txt 848:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\848cc86aa556453b7ae2d77cf1ed69f7\transformed\core-1.7.0\proguard.txt 867:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\c269ff43c6850351c92a4f3de7a5d26d\transformed\jetified-lifecycle-process-2.4.0\proguard.txt 871:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\f082dcda3ea45d057bb4fd056c4b3864\transformed\lifecycle-runtime-2.4.0\proguard.txt 896:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\c78621e75bc17f9e3a8dc4279fe51aed\transformed\rules\lib\META-INF\proguard\retrofit2.pro 928:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\9dd79968324ef9619ccee991ab21aa68\transformed\rules\lib\META-INF\proguard\rxjava2.pro 931:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\9eef9e5128bbcd6232ee9a89f4c5bf00\transformed\lifecycle-viewmodel-2.3.1\proguard.txt 941:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\5875adda5cf6fa792736faf48738cf7c\transformed\jetified-startup-runtime-1.0.0\proguard.txt 952:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\e06b693ee9109a0e8f8d0949e74720e0\transformed\room-runtime-2.4.0\proguard.txt 957:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\6008298b41480f69c56a08890c83e302\transformed\versionedparcelable-1.1.1\proguard.txt 964:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\2810bf2a83f304a3ff02e4019efe065f\transformed\rules\lib\META-INF\proguard\androidx-annotations.pro 985:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\6dc53357fb30238e16dbc902967a8aab\transformed\jetified-annotation-experimental-1.1.0\proguard.txt 1011:# The proguard configuration file for the following section is D:\Android\.gradle\caches\transforms-3\4233f8c9725e3a6760c0e0e606e43b29\transformed\rules\lib\META-INF\proguard\okhttp3.pro 1025:# The proguard configuration file for the following section is ``` 可以看到，除了我们熟悉的 app/proguard-rules.pro 之外，其实还使用了其他 module 的 xxx.pro 文件。当然，这里有些文件，可能没有配置任何内容，只是一个默认的配置，就像 app/proguard-rules.pro 刚创建时候的样子，有兴趣的话可以打开文件查看。在这个最终的混淆配置规则里还有一些值得我们注意的地方。 - proguard-android-optimize.txt-7.2.1 ``` # This is a configuration file for ProGuard. # http://proguard.sourceforge.net/index.html#manual/usage.html # # Starting with version 2.2 of the Android plugin for Gradle, this file is distributed together with # the plugin and unpacked at build-time. The files in $ANDROID_HOME are no longer maintained and # will be ignored by new version of the Android plugin for Gradle. ``` 也就是说从 AGP 2.2 开始，在编译阶段会使用当前 AGP 插件所携带的混淆规则，而不在使用本地 Android SDK/tools/proguard/ 目录下的混淆配置了。这个混淆配置文件里规则都非常通用的，比如对于 enum , Keep 注解，webview Interface 等等之类的规则。 **这就意味着 AGP 插件的升级有可能会影响到混淆，如果某个 AGP 版本所携带的混淆规则发了一些变化的话。** - aapt_rules.txt aapt 顾名思义，就是在执行 AAPT 阶段生成的混淆规则，可以看到里面都是基于 Android 应用层源码的一些配置。会根据代码中的资源文件、布局文件等内容生成相应的规则。比如会基于 AndroidManifest.xml 中声明的四大组件，保留相应的 Activity、Service 等类的构造函数，一些自定义 View 的构造函数等。 - META-INF\proguard\okhttp3.pro 这类混淆规则其实是 `xxx.jar` 文件内部的混淆规则。Android 开发中非常实用的 `okhttp、RxJava、Retrofit` 等这些纯 Java/Kotlin 代码的 module 打包之后上传到中央仓库的就是 jar 文件，而不是 aar (毕竟不涉及到 UI,因此也不会有资源文件了)。 ![lib_jar.png](https://p9-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/dc6d33d0e9e6477480de9fdba6022d51~tplv-k3u1fbpfcp-watermark.image?) 对于 `java-library` 类型的 module，通过上述配置，最终打包的 jar 文件中将包含这个 `thirdlib.pro` 混淆配置文件。剩下的就是一些我们常用的类库自身携带的混淆规则了，可以看到这些 `aar` 类型的库其混淆配置文件都是 proguard.txt 。从这里我们可以看到，AGP 已经非常完善了，在打包过程中会在基于实际代码自动生成相应的混淆规则，尤其是关于 Android 自身类及组件的配置。平时在网上看到的各种混淆配置，没必要非得对着里面的内容一条一条的进行配置，一些非常基础且共用的混淆规则都是默认的。我们实际需要关心的还是自身业务相关的混淆规则，比如涉及 Json 序列化操作的 Model 类的，以及自己写的涉及反射操作的类。那么子 moudle 直接在本地依赖的情况下，混淆配置是如何生效的呢？ ### 子 module 的生效规则这里我们可以重点关注一下 `392:# The proguard configuration file for the following section is D:\workspace\MinApp\common\build\intermediates\consumer_proguard_dir\release\lib0\proguard.txt` 从路径就可以猜出来了，这里的 lib0 就是本地依赖的 `common` module 。这部分在 configuration.txt 中是这样的。 ```java # The proguard configuration file for the following section is D:\workspace\MinApp\common\build\intermediates\consumer_proguard_dir\release\lib0\proguard.txt -keep class com.engineer.common.utils.AndroidFileUtils {*;} # End of content from D:\workspace\MinApp\common\build\intermediates\consumer_proguard_dir\release\lib0\proguard.txt ``` 这部分就是子 module 的混淆配置。子 module 混淆配置生效有两种方式，而这两种方式都依赖 `consumerProguardFiles` 这个属性。 #### 直接使用 `consumer-rules.pro` 直接在子 module 的 `consumer-rules.pro` 中配置要混淆的规则。然后在 build.gradle 中通过默认的配置生效 ```gradle defaultConfig { minSdk ext.minSdkVersion targetSdk ext.targetSdkVersion testInstrumentationRunner "androidx.test.runner.AndroidJUnitRunner" consumerProguardFiles "consumer-rules.pro" } ``` 子 module 创建的时候，会默认在 defaultConfig 闭包中添加 consumerProguardFiles 这个配置，因此只要在 `consumer-rules.pro` 中配置了混淆规则，就会生效。 #### 使用 `proguard-rules.pro` 如果你不习惯使用 `consumer-rules.pro` 的话，也可以使用 `proguard-rules.pro` ，直接配置一下就可以了。 ```gradle buildTypes { release { minifyEnabled false consumerProguardFiles "proguard-rules.pro" proguardFiles getDefaultProguardFile('proguard-android-optimize.txt'), 'proguard-rules.pro' } } ``` 这两种方式配置的内容，最终都会生效。**再次谨记，混淆规则是叠加生效的，并不存在什么先后顺序。打包过程中只要找到了可用的配置文件，就会照单全收** ## 混淆产物说完了混淆配置生效的规则，可以一并再看一下混淆的产物。打包完成后，会在 `app/build/outputs/mapping/{flavor}/` 目录下生成一些混淆相关的文件。 |文件名|作用| |-|---| configuration.txt|所有混淆配置的汇总 mapping.txt |原始与混淆过的类、方法、字段名称间的转换 resources.txt|资源优化记录文件，哪些资源引用了其他资源，哪些资源在使用，哪些资源被移除 seeds.txt|未进行混淆的类与成员 usage.txt|APK中移除的代码通过这些文件，我们就可以看到一次打包过程中，混淆具体做了哪些事情。比较常用的是 mapping.txt 文件，当混淆过后的包出现问题时，通过 stacktrace 定位问题的时候，由于代码被混淆会无法识别，这时候就是通过 mappting.txt 文件解混淆。这里使用过 bugly 的同学应该很熟悉了。线上代码出现问题，上传 mapping 文件就可以快速定位到出现问题的具体代码了。通过 seeds.txt 也可以看到哪些文件没有被混淆，内容是否符合预期。上面混淆配置生效规则里提到了，打包过程中会综合各个 module 的混淆配置文件。因此，有时候我们会发现，自己明明没有配置某些类的 keep ,但是这些类依然没有被混淆，这时候可能就是由于项目本身依赖的 module 的混淆规则生效了。比如 configuration.txt 中 Android fragment 包的这条规则 ```java # The proguard configuration file for the following section is /Users/rookie/.gradle/caches/transforms-3/3368f9a73434dea0d4e52626ffd9a8c9/transformed/fragment-1.3.6/proguard.txt # The default FragmentFactory creates Fragment instances using reflection -if public class ** extends androidx.fragment.app.Fragment -keepclasseswithmembers,allowobfuscation public class <1> { public (); } # End of content from /Users/rookie/.gradle/caches/transforms-3/3368f9a73434dea0d4e52626ffd9a8c9/transformed/fragment-1.3.6/proguard.txt ``` 所有继承自 androidx.fragment.app.Fragment 的类都会随着其构造方法的一起被 keep 。这样最终混淆结果中就会有很多的业务相关的 XXXFragment 类无法被混淆。至于原因，上面的注释解释的很清楚了，需要通过反射创建 Fragment 的实例。所以，在混淆过程中，如果发现一些没有类没有被混淆，不妨在 `configuration.txt` 中找找原因。 *严格来说，resources.txt 是由于配置了 `shrinkResources true` 对无效资源文件进行移除操作后产生的结果，不算是混淆，但是这里可以理解为混淆过程* ## 混淆规则混淆规则本质上非常灵活，很难用一句话概括清楚。这里引用郭神的[Android安全攻防战，反编译与混淆技术完全解析（下）](https://blog.csdn.net/guolin_blog/article/details/50451259) 中的表述，感觉比较清晰。 ### keep 关键字规则 |关键字| 描述| |-|---| keep |保留类和类中的成员，防止它们被混淆或移除。 keepnames |保留类和类中的成员，防止它们被混淆，但当成员没有被引用时会被移除。 keepclassmembers |只保留类中的成员，防止它们被混淆或移除。 keepclassmembernames |只保留类中的成员，防止它们被混淆，但当成员没有被引用时会被移除。 keepclasseswithmembers |保留类和类中的成员，防止它们被混淆或移除，前提是指名的类中的成员必须存在，如果不存在则还是会混淆。 keepclasseswithmembernames |保留类和类中的成员，防止它们被混淆，但当成员没有被引用时会被移除，前提是指名的类中的成员必须存在，如果不存在则还是会混淆。 ### 通配符规则 |通配符| 描述| |-|---| `` |匹配类中的所有字段 `` |匹配类中的所有方法 `` |匹配类中的所有构造函数 `*` |匹配任意长度字符，但不含包名分隔符(.)。比如说我们的完整类名是com.example.test.MyActivity，使用com.*，或者com.exmaple.*都是无法匹配的，因为*无法匹配包名中的分隔符，正确的匹配方式是com.exmaple.*.*，或者com.exmaple.test.*，这些都是可以的。但如果你不写任何其它内容，只有一个*，那就表示匹配所有的东西。 `**` |匹配任意长度字符，并且包含包名分隔符(.)。比如proguard-android.txt中使用的-dontwarn android.support.**就可以匹配android.support包下的所有内容，包括任意长度的子包。 *** |匹配任意参数类型。比如void set*(*)就能匹配任意传入的参数类型，* get*()就能匹配任意返回值的类型。 `…` |匹配任意长度的任意类型参数。比如void test(…)就能匹配任意void test(String a)或者是void test(int a, String b)这些方法。网上大部分文章提到的混淆配置语法都大同小异，都是从正面出发，这样有时候其实是不太灵活的。比如在某些场景下我们需要保留所有实现了 `Serializable` 接口的类，因为这些类涉及到序列化操作。 ```pro -keep class * implements java.io.Serializable {*;} ``` 这条规则本身没问题，但是其实这个规则的范围是很大的。因为我们常用的 enum 的具体实现 Enum 类 ```java public abstract class Enum> implements Comparable, Serializable { ....} ``` 也是实现了 `Serializable` 接口的。因此会导致所有的 enum 类型无法被混淆。实际上 Java 集合框架也有很多类实现了这个接口。虽然 Android 官方不建议使用枚举，但是现实中使用的还是挺多的，比如 glide 。这样就会导致原本可以被混淆的类受到牵连。那么可以避免这种情况吗？其实是有办法的，细心的话你也许已经发现了，在上面 `FragmentFactory` 的混淆配置语法里有条件判断的逻辑。 ```pro # The default FragmentFactory creates Fragment instances using reflection -if public class ** extends androidx.fragment.app.Fragment -keepclasseswithmembers,allowobfuscation public class <1> { public (); } ``` 看到这里的 if 你是不是有点想法了呢？强烈建议在需要配置混淆规则的时候多参考一下 `configuration.txt` 中一些官方库的配置规则，也许会让你打开一扇新的打门。 ## 混淆认知混淆配置规则看起来简单，但其实结合实际场景会变得有些复杂，尤其是代码包含内部类，匿名内部，静态内部类等等不同场景下。这些具体的规律还是需要结合实际场景通过不断的验证。关于代码混淆，最好的学习方法就是自己通过写代码，组合各类配置不断验证。打包后可以用 [jadx-gui](https://github.com/skylot/jadx) 查看混淆的 apk 文件。最后再补充一个进行混淆配置验证时的小技巧。 ```groovy android { //... lint { checkReleaseBuilds false } } ``` 直接在 app/build.gradle android 闭包下配置关闭 releaseBuild 时的 lint 检查。毕竟混淆规则的修改不会影响代码本身，因此可以通过跳过检测，节省编译时间。毕竟这个 lint 检查的耗时还是很可观的。这样就可以避免每次打包时的等待了。有些时候临时打 release 包验证一些问题的时候，也可以临时加上这个配置关闭检测。 ## 参考 - [补齐Android技能树 - 从害怕到玩转Android代码混淆](https://juejin.cn/post/6966526844552085512) - [Android安全攻防战，反编译与混淆技术完全解析（下）](https://blog.csdn.net/guolin_blog/article/details/50451259) - [Android代码混淆及ProGuard手册](https://juejin.cn/post/7067160833041629220) - [Android开发：请你吃一顿史上最全的Android混淆大餐](https://cloud.tencent.com/developer/article/1460282?cps_key=1d358d18a7a17b4a6df8d67a62fd3d3d) - [混淆的另一重境界](https://mp.weixin.qq.com/s?__biz=MzAxNzMxNzk5OQ==&mid=2649485204&idx=1&sn=3e1fcbae5fc1abd222589ea1849185d9)