Android 11 PackageManagerService 源码修改：4种安装路径的全局屏蔽与白名单实现

Android 11 PackageManagerService深度定制：四维安装路径全局管控与动态白名单架构实现

1. 系统级安装管控的核心价值与实现路径

在Android企业级设备管理和定制ROM开发领域，对应用安装行为的精细化控制是系统安全架构的基石需求。传统方案往往只针对单一安装路径进行拦截，而现代企业级设备管理需要覆盖以下四个维度的安装行为管控：

• ADB调试安装 ：通过USB连接执行的静默安装
• 应用商店安装 ：来自预装或第三方应用市场的自动安装
• 手动APK安装 ：用户通过文件管理器触发的图形化安装流程
• 网络下载安装 ：浏览器等应用发起的下载后自动安装

实现全局管控需要深入Android核心服务PackageManagerService（PMS）的源码层，我们通过修改 frameworks/base/services/core/java/com/android/server/pm/ 路径下的关键类文件，构建了一套可动态配置的管控体系。该方案的核心优势在于：

1. 全路径覆盖 ：拦截所有已知安装入口
2. 零界面泄漏 ：安装流程在系统层终止，不触发用户提示
3. 热切换能力 ：通过系统属性动态启停管控
4. 白名单机制 ：允许特定业务必需的应用安装

// 系统属性定义示例
private static final String PROP_BLOCK_ALL = "persist.sys.pkg_block_all";
private static final String PROP_WHITELIST = "persist.sys.pkg_whitelist";

2. PMS源码改造的四层拦截架构

2.1 核心拦截点定位

在Android 11的PMS中，安装请求的处理流程遵循以下关键路径：

installPackageAsUser 
→ installPackageTracedLI 
→ installPackageLI 
→ PackageHandler.handleMessage(INIT_COPY)

我们需要在三个战略位置植入拦截逻辑：

1. 入口验证层 ： installPackageAsUser() 方法起始处
2. 流程控制层 ： PackageHandler.doHandleMessage() 消息处理中
3. 安装执行层 ： scanPackageTracedLI() 扫描前校验

// 典型拦截代码结构
public void installPackageAsUser(..., int userId) {
    if (isInstallBlocked(installerPackageName, origin)) {
        throw new SecurityException("Install blocked by device policy");
    }
    // 原有安装流程...
}

2.2 四维路径识别技术

不同安装路径在PMS中通过安装来源(InstallSource)和安装参数(InstallParams)进行区分。我们通过以下特征进行路径判定：

2.3 动态属性控制实现

通过系统属性实现运行时配置更新，避免每次修改都需要重新编译系统：

// 全局开关控制
boolean isBlockAllEnabled() {
    return SystemProperties.getBoolean(PROP_BLOCK_ALL, false);
}

// 白名单解析示例
Set<String> getWhitelist() {
    String rawList = SystemProperties.get(PROP_WHITELIST, "");
    return new HashSet<>(Arrays.asList(rawList.split("\\|")));
}

技术提示：系统属性变更需要通过 SystemProperties.addChangeCallback() 注册监听器，实时更新内存中的配置状态

3. 白名单引擎的进阶实现方案

3.1 多维度白名单策略

基础包名白名单无法满足复杂场景需求，我们设计了支持多条件的复合白名单规则：

1. 包名精确匹配 ：com.enterprise.app
2. 证书指纹校验 ：SHA-256签名验证
3. 路径限定规则 ：只允许安装/data/app/enterprise/下的应用
4. 版本号范围 ：minVersionCode ≤ app ≤ maxVersionCode

<!-- /etc/pkg_whitelist.xml 配置示例 -->
<rules>
    <package name="com.company.erp" cert="A1:B2:...:F9" minVersion="20230000"/>
    <path prefix="/data/app/secure/" />
</rules>

3.2 签名验证核心代码

boolean verifySignature(PackageParser.Package pkg) {
    Signature[] packageSigs = pkg.mSigningDetails.getSignatures();
    String expectedCert = getWhitelistCert(pkg.packageName);
    
    if (expectedCert == null) return false;
    
    return Arrays.stream(packageSigs)
            .map(sig -> calculateSha256(sig.toByteArray()))
            .anyMatch(hash -> hash.equals(expectedCert));
}

3.3 性能优化技巧

白名单校验可能成为性能瓶颈，我们采用以下优化手段：

• 内存缓存 ：使用LruCache缓存最近验证结果
• 提前终止 ：在安装链路的早期进行快速失败检查
• 后台预加载 ：在系统启动时异步加载白名单配置
• 签名哈希化 ：预先计算证书指纹避免重复运算

// 优化后的校验流程
public boolean shouldAllowInstall(PackageParser.Package pkg) {
    // 快速路径检查
    if (!isBlockAllEnabled()) return true;
    
    // 内存缓存检查
    String cacheKey = pkg.packageName + pkg.mSigningDetails.getSignatures();
    Boolean cached = mWhitelistCache.get(cacheKey);
    if (cached != null) return cached;
    
    // 完整校验流程
    boolean result = checkWhitelistRules(pkg);
    mWhitelistCache.put(cacheKey, result);
    return result;
}

4. 与PackageInstaller的协同拦截

4.1 图形化安装流程拦截

手动安装通过PackageInstaller应用触发，需要修改以下关键类：

1. InstallStart.java ：安装向导入口点
2. PackageInstallerActivity.java ：安装确认界面
3. InstallInstalling.java ：安装进度控制

// InstallStart.java修改示例
public class InstallStart extends Activity {
    protected void onCreate(Bundle savedInstanceState) {
        if (PmsBlockPolicy.shouldBlockInstall(getIntent())) {
            setResult(Activity.RESULT_CANCELED);
            finish();
            return;
        }
        // 原有逻辑...
    }
}

4.2 用户体验一致性处理

为避免用户困惑，需要统一拦截体验：

1. 静默失败 ：不显示任何提示（企业设备场景）
2. 策略说明 ：显示定制化拦截消息（BYOD场景）
3. 日志记录 ：记录拦截事件到系统日志

// 拦截提示策略
void handleBlockedInstall(Context context) {
    if (isSilentMode()) {
        return;
    }
    
    Toast.makeText(context, R.string.install_blocked_policy, 
        Toast.LENGTH_LONG).show();
    
    Intent logIntent = new Intent(ACTION_INSTALL_BLOCKED);
    logIntent.putExtra(EXTRA_PACKAGE_NAME, packageName);
    context.sendBroadcast(logIntent);
}

5. 企业级部署实践方案

5.1 配置管理接口设计

为方便MDM（移动设备管理）系统集成，我们暴露以下控制接口：

1. ADB命令接口 ：

   adb shell setprop persist.sys.pkg_block_all 1
   adb shell setprop persist.sys.pkg_whitelist "com.abc.app|com.xyz.tool"
   

2. SystemAPI接口 ：

   public class PackagePolicyManager {
       public static void setGlobalBlock(boolean enabled) { ... }
       public static void addWhitelistEntry(String pkg, String cert) { ... }
   }
   

3. 配置文件接口 ：
   将 /vendor/etc/pkg_policy.xml 作为出厂配置

5.2 策略更新流程图

graph TD
    A[策略变更请求] --> B{变更类型}
    B -->|紧急开关| C[ADB命令设置系统属性]
    B -->|批量更新| D[推送policy.xml到/vendor/etc]
    B -->|精细调整| E[调用SystemAPI接口]
    C --> F[触发属性变更回调]
    D --> G[解析配置文件并更新内存]
    E --> H[直接修改内存状态]
    F --> I[持久化到系统属性]
    G --> I
    H --> I
    I --> J[通知所有监听进程]

5.3 监控与审计实现

完善的管控系统需要具备以下监控能力：

1. 实时事件日志 ：记录所有安装尝试及其处置结果
2. 策略变更审计 ：跟踪谁在何时修改了管控规则
3. 异常行为警报 ：检测频繁的安装拦截事件

// 审计日志记录示例
public void logPolicyEvent(int type, String packageName, int uid) {
    AuditLog.write(new AuditLogEntry(
        System.currentTimeMillis(),
        Binder.getCallingUid(),
        type,
        packageName,
        getCurrentPolicySnapshot()
    ));
}

6. 兼容性处理与疑难解答

6.1 版本适配要点

不同Android版本需要特别注意：

6.2 常见问题排查

问题现象 ：白名单应用仍被拦截
排查步骤 ：

1. 检查 logcat -s PackageManager 确认拦截点
2. 验证系统属性值 getprop persist.sys.pkg_whitelist
3. 检查白名单应用的签名指纹是否匹配
4. 确认没有路径限制规则冲突

问题现象 ：ADB安装绕过拦截
解决方案 ：

1. 确保拦截逻辑覆盖 com.android.shell 安装源
2. 检查SELinux策略是否允许PMS读取拦截配置
3. 验证系统属性监听器是否正常注册

7. 性能影响评估与优化

在Pixel 3设备上的基准测试数据：

优化建议：

1. 避免在安装主线程进行复杂签名计算
2. 对系统应用免检以提升启动速度
3. 使用Bloom过滤器加速包名查找

8. 安全加固建议

为防止恶意应用绕过管控，建议补充以下措施：

1. 签名保护 ：对白名单配置进行数字签名
2. 防篡改检测 ：定期校验 /system/etc 下策略文件完整性
3. 权限隔离 ：限制只有系统应用可修改管控策略
4. 安全通信 ：系统属性变更需验证调用者身份

// native层配置验证示例
static bool verify_config_signature(const char* path) {
    int fd = open(path, O_RDONLY);
    // ...读取文件并验证签名
    return is_trusted;
}

9. 扩展应用场景

本方案的架构设计还可应用于：

1. 应用冻结服务 ：动态禁用非活跃应用
2. 版本固化 ：防止关键应用被降级
3. 合规检查 ：确保安装应用符合企业安全标准
4. 资源控制 ：限制应用安装数量或总大小

// 应用冻结示例扩展
public void freezePackage(String pkgName) {
    mPms.setApplicationEnabledSetting(pkgName, 
        COMPONENT_ENABLED_STATE_DISABLED_USER, 0);
    addToFrozenList(pkgName); // 自定义冻结状态保持
}

10. 持续维护建议

为保持方案长期有效性，建议：

1. 版本跟踪 ：建立Android版本变更监控机制
2. 自动化测试 ：构建安装路径覆盖测试套件
3. 上游适配 ：关注AOSP官方政策API的演进
4. 漏洞响应 ：建立快速修复的安全更新通道

在实现企业级设备管控方案时，我们发现最有效的策略是组合使用全局拦截与精细化的白名单控制。通过将核心逻辑下沉到系统服务层，可以确保管控策略在所有应用安装路径上一致生效，而动态配置能力则提供了必要的管理灵活性。