1. Android系统预置应用概述在Android设备出厂前预置第三方应用是厂商常见的做法。以微信为例作为国内最主流的社交应用几乎所有的国产Android设备都会在出厂时预装微信客户端。这种预置操作看似简单实则涉及系统分区挂载、应用签名验证、权限配置等一系列技术细节。预置应用通常分为两种方式一种是将APK直接放入system分区另一种是通过动态分区如system_ext或product分区进行预置。在Android 10及更高版本中由于动态分区的引入第二种方式更为常见。具体到微信这样的重量级应用还需要考虑其so库文件的兼容性、数据目录的预先配置等问题。提示从Android 11开始Google强制要求所有预置应用必须支持更新这意味着预置的微信版本需要能够通过应用商店正常升级不能锁定版本号。2. 微信APK预置技术实现2.1 预置目录结构规划在Android源码环境下预置微信需要先确定存放位置。推荐使用product分区进行预置目录结构如下product/ └── priv-app/ └── WeChat/ ├── WeChat.apk └── lib/ ├── arm64/ │ └── libwechat.so └── arm/ └── libwechat.so这种结构确保了APK和对应的native库能够被正确识别。需要注意的是必须使用priv-app目录而非普通app目录因为微信需要申请高危权限lib子目录结构必须严格匹配ABI类型APK文件名需要与包名一致com.tencent.mm2.2 Android.mk配置在WeChat目录下创建Android.mk文件内容示例如下LOCAL_PATH : $(call my-dir) include $(CLEAR_VARS) LOCAL_MODULE : WeChat LOCAL_MODULE_TAGS : optional LOCAL_SRC_FILES : WeChat.apk LOCAL_MODULE_CLASS : APPS LOCAL_MODULE_SUFFIX : $(COMMON_ANDROID_PACKAGE_SUFFIX) LOCAL_PRIVILEGED_MODULE : true LOCAL_CERTIFICATE : PRESIGNED LOCAL_MULTILIB : both LOCAL_PREBUILT_JNI_LIBS : \ lib/arm64/libwechat.so \ lib/arm/libwechat.so include $(BUILD_PREBUILT)关键参数说明LOCAL_PRIVILEGED_MODULE声明为特权应用LOCAL_CERTIFICATE使用预签名证书LOCAL_MULTILIB支持32/64位LOCAL_PREBUILT_JNI_LIBS指定so库路径2.3 产品配置文件集成在device/厂商/产品/product.mk中添加PRODUCT_PACKAGES \ WeChat这样在编译系统镜像时就会自动包含微信应用。3. SELinux权限问题解析3.1 AVC Denial的产生原因在Android 16对应Android 10上SELinux策略更加严格微信作为预置应用运行时可能会遇到形如avc: denied的权限拒绝错误。这类错误通常出现在以下场景微信尝试访问设备节点如/dev/properties微信需要读写自身数据目录外的存储空间微信调用系统服务时缺少必要的SELinux标签一个典型的avc拒绝日志示例type1400 audit(0.0:123): avc: denied { read } for pid4567 commWeChat nameu:object_r:default_prop:s0 devtmpfs ino12345 scontextu:r:system_app:s0 tcontextu:object_r:default_prop:s0 tclassfile permissive03.2 权限问题排查方法使用adb logcat | grep avc实时监控SELinux拒绝事件对每个拒绝事件记录以下关键信息操作类型read/write/execute等源上下文scontext目标上下文tcontext目标类别tclass使用audit2allow工具生成策略补丁adb pull /sys/fs/selinux/policy adb logcat -d | grep avc avc_log.txt audit2allow -p policy avc_log.txt3.3 自定义SELinux策略在device/厂商/产品/sepolicy目录下创建wechat.te文件内容根据avc拒绝日志确定。例如针对上述日志应添加allow system_app default_prop:file read;更完善的策略应该细化权限范围# 允许微信访问网络 allow system_app netd_service:service_manager find; # 允许微信读写SD卡 allow system_app media_rw_data_file:dir { search write }; allow system_app media_rw_data_file:file { read write }; # 允许微信访问系统属性 allow system_app default_prop:file read;编译测试后将这些规则整合到厂商自定义的sepolicy中。4. 微信特有问题的解决方案4.1 so库兼容性问题微信的so库可能存在以下问题与系统libc版本不兼容使用了非公开的NDK API依赖特定的CPU特性解决方案在Android.mk中添加排除项LOCAL_CHECK_ELF_FILES : false为不同ABI提供对应的so版本在设备上预置必要的兼容库4.2 数据目录初始化微信首次运行时需要创建以下关键目录/data/data/com.tencent.mm应用数据/data/media/0/tencent/MicroMsg媒体文件/data/user_de/0/com.tencent.mm多用户支持可以通过init.rc脚本预先创建并设置权限on post-fs-data mkdir /data/media/0/tencent 0775 system system mkdir /data/media/0/tencent/MicroMsg 0775 system system4.3 多用户支持配置在product分区创建etc/permissions/wechat.xmlpermissions privapp-permissions packagecom.tencent.mm permission nameandroid.permission.INTERACT_ACROSS_USERS/ permission nameandroid.permission.MANAGE_USERS/ /privapp-permissions /permissions5. 测试与验证流程5.1 预置验证步骤刷入编译好的系统镜像检查微信是否出现在应用列表adb shell pm list packages | grep tencent验证so库加载adb shell cat /proc/$(pidof com.tencent.mm)/maps | grep wechat5.2 SELinux状态检查确认SELinux处于enforcing模式adb shell getenforce检查微信进程的SELinux上下文adb shell ps -AZ | grep wechat监控实时avc日志adb logcat | grep avc5.3 功能测试要点登录流程测试消息收发测试支付功能验证小程序加载测试多媒体文件读写测试6. 性能优化建议6.1 启动加速在product分区创建etc/sysconfig/wechat.xmlconfig startup-classes classcom.tencent.mm.app.MMApplication/class /startup-classes /config6.2 内存优化在vendor/etc/init/wechat.rc中添加on property:sys.wechat.opt1 write /proc/$(pidof com.tencent.mm)/oom_score_adj -8006.3 后台保活合理配置电池优化白名单PowerManager pm (PowerManager)getSystemService(POWER_SERVICE); if (!pm.isIgnoringBatteryOptimizations(com.tencent.mm)) { Intent intent new Intent(); intent.setAction(Settings.ACTION_REQUEST_IGNORE_BATTERY_OPTIMIZATIONS); intent.setData(Uri.parse(package:com.tencent.mm)); startActivity(intent); }在实际项目中我们发现微信7.0.21版本在Android 10上运行时需要额外添加以下SELinux规则才能正常使用扫码功能# 允许微信访问相机服务 allow system_app camera_service:service_manager find; allow system_app camera_device:dir search; allow system_app camera_device:chr_file { open read ioctl };这些规则应该添加到厂商自定义的sepolicy中并通过CTS验证确保不会降低系统安全性。
1. Android系统预置应用概述在Android设备出厂前预置第三方应用是厂商常见的做法。以微信为例作为国内最主流的社交应用几乎所有的国产Android设备都会在出厂时预装微信客户端。这种预置操作看似简单实则涉及系统分区挂载、应用签名验证、权限配置等一系列技术细节。预置应用通常分为两种方式一种是将APK直接放入system分区另一种是通过动态分区如system_ext或product分区进行预置。在Android 10及更高版本中由于动态分区的引入第二种方式更为常见。具体到微信这样的重量级应用还需要考虑其so库文件的兼容性、数据目录的预先配置等问题。提示从Android 11开始Google强制要求所有预置应用必须支持更新这意味着预置的微信版本需要能够通过应用商店正常升级不能锁定版本号。2. 微信APK预置技术实现2.1 预置目录结构规划在Android源码环境下预置微信需要先确定存放位置。推荐使用product分区进行预置目录结构如下product/ └── priv-app/ └── WeChat/ ├── WeChat.apk └── lib/ ├── arm64/ │ └── libwechat.so └── arm/ └── libwechat.so这种结构确保了APK和对应的native库能够被正确识别。需要注意的是必须使用priv-app目录而非普通app目录因为微信需要申请高危权限lib子目录结构必须严格匹配ABI类型APK文件名需要与包名一致com.tencent.mm2.2 Android.mk配置在WeChat目录下创建Android.mk文件内容示例如下LOCAL_PATH : $(call my-dir) include $(CLEAR_VARS) LOCAL_MODULE : WeChat LOCAL_MODULE_TAGS : optional LOCAL_SRC_FILES : WeChat.apk LOCAL_MODULE_CLASS : APPS LOCAL_MODULE_SUFFIX : $(COMMON_ANDROID_PACKAGE_SUFFIX) LOCAL_PRIVILEGED_MODULE : true LOCAL_CERTIFICATE : PRESIGNED LOCAL_MULTILIB : both LOCAL_PREBUILT_JNI_LIBS : \ lib/arm64/libwechat.so \ lib/arm/libwechat.so include $(BUILD_PREBUILT)关键参数说明LOCAL_PRIVILEGED_MODULE声明为特权应用LOCAL_CERTIFICATE使用预签名证书LOCAL_MULTILIB支持32/64位LOCAL_PREBUILT_JNI_LIBS指定so库路径2.3 产品配置文件集成在device/厂商/产品/product.mk中添加PRODUCT_PACKAGES \ WeChat这样在编译系统镜像时就会自动包含微信应用。3. SELinux权限问题解析3.1 AVC Denial的产生原因在Android 16对应Android 10上SELinux策略更加严格微信作为预置应用运行时可能会遇到形如avc: denied的权限拒绝错误。这类错误通常出现在以下场景微信尝试访问设备节点如/dev/properties微信需要读写自身数据目录外的存储空间微信调用系统服务时缺少必要的SELinux标签一个典型的avc拒绝日志示例type1400 audit(0.0:123): avc: denied { read } for pid4567 commWeChat nameu:object_r:default_prop:s0 devtmpfs ino12345 scontextu:r:system_app:s0 tcontextu:object_r:default_prop:s0 tclassfile permissive03.2 权限问题排查方法使用adb logcat | grep avc实时监控SELinux拒绝事件对每个拒绝事件记录以下关键信息操作类型read/write/execute等源上下文scontext目标上下文tcontext目标类别tclass使用audit2allow工具生成策略补丁adb pull /sys/fs/selinux/policy adb logcat -d | grep avc avc_log.txt audit2allow -p policy avc_log.txt3.3 自定义SELinux策略在device/厂商/产品/sepolicy目录下创建wechat.te文件内容根据avc拒绝日志确定。例如针对上述日志应添加allow system_app default_prop:file read;更完善的策略应该细化权限范围# 允许微信访问网络 allow system_app netd_service:service_manager find; # 允许微信读写SD卡 allow system_app media_rw_data_file:dir { search write }; allow system_app media_rw_data_file:file { read write }; # 允许微信访问系统属性 allow system_app default_prop:file read;编译测试后将这些规则整合到厂商自定义的sepolicy中。4. 微信特有问题的解决方案4.1 so库兼容性问题微信的so库可能存在以下问题与系统libc版本不兼容使用了非公开的NDK API依赖特定的CPU特性解决方案在Android.mk中添加排除项LOCAL_CHECK_ELF_FILES : false为不同ABI提供对应的so版本在设备上预置必要的兼容库4.2 数据目录初始化微信首次运行时需要创建以下关键目录/data/data/com.tencent.mm应用数据/data/media/0/tencent/MicroMsg媒体文件/data/user_de/0/com.tencent.mm多用户支持可以通过init.rc脚本预先创建并设置权限on post-fs-data mkdir /data/media/0/tencent 0775 system system mkdir /data/media/0/tencent/MicroMsg 0775 system system4.3 多用户支持配置在product分区创建etc/permissions/wechat.xmlpermissions privapp-permissions packagecom.tencent.mm permission nameandroid.permission.INTERACT_ACROSS_USERS/ permission nameandroid.permission.MANAGE_USERS/ /privapp-permissions /permissions5. 测试与验证流程5.1 预置验证步骤刷入编译好的系统镜像检查微信是否出现在应用列表adb shell pm list packages | grep tencent验证so库加载adb shell cat /proc/$(pidof com.tencent.mm)/maps | grep wechat5.2 SELinux状态检查确认SELinux处于enforcing模式adb shell getenforce检查微信进程的SELinux上下文adb shell ps -AZ | grep wechat监控实时avc日志adb logcat | grep avc5.3 功能测试要点登录流程测试消息收发测试支付功能验证小程序加载测试多媒体文件读写测试6. 性能优化建议6.1 启动加速在product分区创建etc/sysconfig/wechat.xmlconfig startup-classes classcom.tencent.mm.app.MMApplication/class /startup-classes /config6.2 内存优化在vendor/etc/init/wechat.rc中添加on property:sys.wechat.opt1 write /proc/$(pidof com.tencent.mm)/oom_score_adj -8006.3 后台保活合理配置电池优化白名单PowerManager pm (PowerManager)getSystemService(POWER_SERVICE); if (!pm.isIgnoringBatteryOptimizations(com.tencent.mm)) { Intent intent new Intent(); intent.setAction(Settings.ACTION_REQUEST_IGNORE_BATTERY_OPTIMIZATIONS); intent.setData(Uri.parse(package:com.tencent.mm)); startActivity(intent); }在实际项目中我们发现微信7.0.21版本在Android 10上运行时需要额外添加以下SELinux规则才能正常使用扫码功能# 允许微信访问相机服务 allow system_app camera_service:service_manager find; allow system_app camera_device:dir search; allow system_app camera_device:chr_file { open read ioctl };这些规则应该添加到厂商自定义的sepolicy中并通过CTS验证确保不会降低系统安全性。
