为什么要在 SO 加固前保留 Native 诊断构建：Build ID 与符号映射

诊断构建的价值是保留可比证据，不是增加一个 Debug 包

Native 崩溃常只留下程序计数器、共享库、线程和有限堆栈。SO 经剥离和加固后，函数名、源代码行和原始布局可能不可直接获得。若团队在故障发生后才重新编译一个带符号版本，源码、依赖、工具链或优化已经漂移，符号看似可读却不一定对应真实候选。

正确做法是在同一次受控 Release 构建中保留三类对象：未剥离诊断 SO、实际送入加固流程的剥离输入，以及加固后的交付输出。三者各自计算 SHA-256，前两者核对 Build ID 和 ABI，加固输出则通过处理回执连接到输入，不假设它保持相同地址或 Build ID。

诊断构建不等于可发布构建。未剥离符号可能包含函数、文件路径和实现细节，应放在权限受控归档；实际发布仍使用经过批准的剥离与加固候选。诊断文件只能解释同一证据链中的故障，不能以可调试为由绕过签名、兼容和发布门禁。

Release 诊断双生件必须复制真实构建条件

调试 variant 往往启用不同优化级别、断言、日志、宏、签名和依赖，Native 函数内联、栈布局、竞态窗口和链接结果都可能变化。一个只在 Release 出现的问题，可能在 Debug 中消失；Debug 中可复现也不表示地址能映射到 Release 候选。

诊断双生件应与实际加固输入共享源码提交、子模块、依赖锁、编译器、NDK、API level、ABI、CMake 或其他构建参数、预处理宏、优化、LTO、STL、异常、RTTI、链接顺序和生成代码。允许差异仅限为诊断保存符号所需的剥离步骤或独立符号输出。

工程判断是从同一链接产物分叉：一份保留在受控符号归档，一份按发布策略剥离并进入加固。不要启动第二次独立编译来“生成符号版”，因为时间戳、生成代码、工具默认值和依赖解析都可能改变结果。是否同源必须由 Build ID、摘要和构建证明联合确认。

Build ID 用于确认构建对应关系，但不能单独证明等价

Debug Android native code 说明 Native 调试和 tombstone 还原依赖正确符号、架构与构建产物。ELF Build ID 可作为构建身份的重要连接点。对同一链接输出的未剥离 SO 与剥离输入，团队应核对 Build ID 一致，并分别保存文件摘要。

Build ID 相同不表示两个文件字节相同，剥离会移除符号或调试节；它也不证明业务运行行为已经测试。反过来，加固工具可能重写布局并产生不同 Build ID，此时不能用不相等直接判定失败，而应要求变换回执记录 inputSha256、outputSha256、ABI、工具和配置。

符号化时优先用崩溃记录中的库 Build ID 匹配归档，而不是只用 versionName 或文件名。若 tombstone 缺少足够身份，结论应标记为候选未确认。强行套用最接近的符号包可能产生貌似合理但错误的函数和源码行。

ndk-stack 需要同一构建的未剥离符号目录

ndk-stack 文档说明 Native 崩溃还原需要未剥离符号目录与同一构建的地址信息。工具可以把 tombstone 或 logcat 中的地址转换成函数和源码行，但前提是 ABI、库和符号真正匹配。符号目录若来自另一次编译，输出可能误导排查。

符号化成功只完成“地址属于哪里”，没有自动回答“为什么崩溃”。空指针可能来自更早的所有权错误，锁等待顶部帧未必是持锁源，加固输出地址还可能需要工具提供的映射才能回连加固前符号。根因仍要结合线程、寄存器、调用时间线、输入和复现。

归档应按 applicationId、versionCode、variant、ABI、APK 摘要、SO 摘要和 Build ID 建索引。查询时从真实候选和崩溃对象反向匹配，不允许只按日期挑最近符号。原始 tombstone 和未剥离 SO 均可能敏感，应限制下载、记录访问并设置保留策略。

独立 Native 符号包不等于公开分发未剥离 SO

Include native symbols 说明 Android 发布构建可以生成独立 Native 调试符号文件并上传到 Play Console。这样线上 Native 崩溃可以在授权系统中去混淆或符号化，而应用交付包仍使用剥离后的 SO。符号交付与应用交付是两条不同路径。

符号包必须绑定版本、ABI 和候选包摘要。上传一个名称正确但来自其他构建的压缩包，比没有符号更危险，因为错误结果容易被当作事实。发布门禁应验证符号归档的 Build ID 集合与实际交付输入一致，并保存上传平台回执；本地文件存在不等于平台已接受。

符号级别也要按诊断需求与暴露风险选择。无论采用哪种级别，原始未剥离文件、拆分符号文件和加固映射都不应进入公共 APK、网页附件或无权限对象存储。本文只说明诊断用途，不替代组织的正式符号归档和访问控制制度。

三段对照帮助区分原始缺陷、剥离问题与加固差异

Android NDK common problems 将 API level、缺失符号、STL、异常类型和错误依赖装载列为常见故障。遇到加固后 Native 异常时，应先在同一设备和路径比较未剥离诊断件、实际剥离输入和加固输出，而不是直接把所有差异归因于保护处理。

若未剥离与剥离输入都失败，优先检查原始代码、依赖、API、ABI 和运行库；若只有剥离输入失败，检查符号可见性、动态查找或打包假设；若前两者通过而加固输出稳定失败，再检查变换范围、加载顺序、桥接与兼容边界。三段结果仍是定位线索，不是唯一根因证明。

对照必须固定 APK 容器、签名阶段、设备、应用数据、业务输入和启动条件。单独加载某个 SO 的小程序可以缩小范围，却不能代替真实 App 的组件、ClassLoader、JNI 和系统 API 环境。每次结果都要绑定精确文件摘要，禁止用同名替换。

设备回归与 SSDF 让诊断链进入发布证据

Android instrumented tests 在真实 Android 环境执行，可访问组件和系统 API。Native 诊断链应在设备上覆盖 SO 加载、JNI、关键算法输入、异常、线程、进程重建和故障恢复。未剥离件、剥离输入和加固输出应使用相同契约，但结果分别绑定各自文件。

单一设备通过不能代表完整 API、ABI 和厂商矩阵。每个承诺 ABI 都应保存实际 SO、设备和结果；最低支持系统、高风险厂商及不同加载路径需要代表性覆盖。诊断件通过不能抵消加固输出失败，加固输出通过也不能证明符号归档可用于未来崩溃。

NIST SP 800-218 SSDF 提倡保留来源、构建、验证与变更证据，并管理供应链风险。诊断产物、剥离输入、加固输出、工具链、变换回执、符号索引和设备结果可以组成一条发布证据链。SSDF 不定义具体加固能力，也不证明某个崩溃已经定位。

• 诊断件与实际输入来自同一链接产物
• 逐 ABI 保存 Build ID 和 SHA-256
• 加固输出通过变换回执连接输入
• 符号与映射进入受控归档
• 三段对照绑定相同业务契约
• 设备结果绑定精确 APK 和 SO
• 静态对应关系不冒充根因或兼容结论

用 readelf 校验 Build ID、符号节和三段摘要

下面的 Python 示例接收受控 `llvm-readelf`、未剥离诊断 SO、剥离输入 SO 和加固输出 SO。它读取 ELF notes 与 sections，提取 Build ID，计算三份文件 SHA-256，并要求诊断件与实际输入具有相同 Build ID，同时确认诊断件包含符号表和调试信息节。

脚本不要求加固输出 Build ID 与输入相同，只把输出身份记录到映射中。readelf 失败、Build ID 缺失、前两者不匹配或诊断节不足都会返回非零状态。该检查只验证二进制对应关系，不执行符号化，也不读取 tombstone、密钥或内部地址，更不会根据地址差异推断保护效果或替代设备复现。

准备 SO 加固前诊断构建评估时，可整理三段二进制、逐 ABI Build ID、编译和链接参数、符号归档、加固映射、崩溃材料和设备回归，再通过御盾中央平台提交申请。校验通过不等于崩溃根因已找到或生产兼容通过。

• llvm-readelf 来自受控 NDK toolchain
• 三份 SO 均为同一 ABI 的受控对象
• 诊断件与加固输入 Build ID 相同
• 诊断件包含 symtab 和 debug 信息
• 三份 SO 分别计算 SHA-256
• 加固输出 Build ID 单独记录而非强求相同
• 检查结果不冒充符号化或根因结论

from pathlib import Path
import hashlib
import json
import re
import subprocess
import sys

if len(sys.argv) != 5:
    raise SystemExit(2)
readelf = Path(sys.argv[1])
diagnostic_so = Path(sys.argv[2])
stripped_input = Path(sys.argv[3])
hardened_output = Path(sys.argv[4])
files = [readelf, diagnostic_so, stripped_input, hardened_output]
if any(not path.is_file() for path in files):
    raise SystemExit(2)

def run_readelf(arguments, path):
    completed = subprocess.run([str(readelf), *arguments, str(path)], check=False, capture_output=True, text=True)
    if completed.returncode != 0:
        raise SystemExit(3)
    return completed.stdout

def build_id(path):
    output = run_readelf(["-n"], path)
    match = re.search(r"Build ID:\s*([0-9a-fA-F]+)", output)
    if not match:
        raise SystemExit(3)
    return match.group(1).lower()

def digest(path):
    value = hashlib.sha256()
    with path.open("rb") as stream:
        for chunk in iter(lambda: stream.read(1024 * 1024), b""):
            value.update(chunk)
    return value.hexdigest()

def section_names(path):
    output = run_readelf(["-S", "--wide"], path)
    return sorted(set(re.findall(r"\]\s+(\.[A-Za-z0-9_.$-]+)\s+", output)))

diagnostic_id = build_id(diagnostic_so)
input_id = build_id(stripped_input)
output_id = build_id(hardened_output)
diagnostic_sections = section_names(diagnostic_so)
if diagnostic_id != input_id:
    raise SystemExit(3)
if ".symtab" not in diagnostic_sections or not any(name.startswith(".debug_") for name in diagnostic_sections):
    raise SystemExit(3)
report = {"status": "identity-chain-valid", "preHardeningBuildId": diagnostic_id, "hardenedBuildId": output_id, "diagnostic": {"sha256": digest(diagnostic_so), "sections": diagnostic_sections}, "strippedInput": {"sha256": digest(stripped_input)}, "hardenedOutput": {"sha256": digest(hardened_output)}, "boundary": "identity validation does not prove root cause or runtime compatibility"}
print(json.dumps(report, ensure_ascii=False, indent=2))