相关术语:
崩溃:在用户正常操作的情况下,应用突然出现应用强行退出、无响应等完全不可用的情况。
2.1 崩溃率线上标准
问题描述 | 判定标准 | 合格用例 |
---|---|---|
1.启动崩溃率 | 应用一天中出现的Crash总数在应用一天中总启动次数中的比率。启动崩溃率=(应用一天中出现的Crash总数/应用一天中总体的启动次数)x100% | 一天中启动崩溃率 ≤ 0.2%(具体不同类型app可以略有不同) |
2.用户或设备崩溃率 | 一天中出现Crash的用户数(设备数)在整体活跃用户数(活跃设备数)中的比率。用户或设备崩溃率=(应用一天中发生的Crash的用户数(去重)/应用一天中总体的活跃用户数)x100% | 一天中用户或设备崩溃率 ≤ 0.2%(具体不同类型app可以略有不同) |
2.2 崩溃率线线下测试及处理标准
问题描述 | 判定标准 | 合格用例 |
---|---|---|
1.崩溃率线下测试 | a. 稳定性测试要覆盖80%用户的主流机型 | |
b. 安装、启动等场景必须覆盖 | ||
c. Monkey确保覆盖页面>70% | ||
d. 完成8小时Monkey不出现崩溃 | 覆盖机型:至少覆盖应用目标用户机型分布中top10,保证80%的机型被覆盖到。 | |
覆盖场景:全新安装、覆盖安装、冷启动、热启动及8小时Monkey,Monkey过程要能覆盖登录与非登录状态,通过优化执行路径、多机运行累加结果等方式,保证页面覆盖率>70%。 | ||
2.崩溃信息收集及处理标准 | 是否有完善的线上Crash上报及处理机制 | 获取信息包括但不限定于: |
a. 手机基础信息,如品牌、机型、系统版本、地理位置、运营商、网络类型、用户名等 | ||
b. Crash堆栈信息 | ||
c. 日志信息:用户操作日志、系统日志等 | ||
d.聚合大量同类Crash后,给出此Crash发生的特征数据,如机型分布、应用版本分布、地理分布等信息,方便进行问题定位 |
2.3 不同类型应用崩溃率标准值(具体值还需要再确定)
应用类型 | 参考启动崩溃率 | 参考设备崩溃率 |
---|---|---|
影音娱乐 | 0.15% | 0.2% |
社交通讯 | 0.15% | 0.2% |
游戏 | 0.15% | 0.2% |
购物 | 0.15% | 0.2% |
金融理财 | 0.15% | 0.2% |
实用工具 | 0.15% | 0.2% |
导航 | 0.15% | 0.2% |
新闻阅读 | 0.2% | 0.3% |
教育 | 0.2% | 0.3% |
(3)安全标准
3.1 基础安全标准
问题描述 | 合格用例 | 详细说明 |
---|---|---|
安装,运行及卸载 | ||
- | 1.应用在用户未授权情况下,不能进行程序下载、安装、或升级操作; | |
- | 2.应用在用户未授权情况下,不能执行自启动操作; | |
- | 3.应用在用户强制关闭或退出后,不能继续占用系统资源; | |
功能使用 | ||
- | 1.应用在用户未授权情况下,不能执行拨打电话、发送短信等操作; | |
- | 2.应用在用户未授权情况下,不能执行摄像、录音、截屏等操作; | |
- | 3.应用在用户未授权情况下,不能打开或关闭如WiFi、蓝牙、GPS等; | |
数据操作 | ||
- | 1.应用在用户未授权情况下,不能读写用户短信、联系人等隐私数据; | |
- | 2.应用在用户未授权情况下,不能收集或上报用户设备、系统及应用程序信息; | |
- | 3.应用在用户未授权情况下,不能修改系统配置等资源文件; | |
- | 4.应用在用户未授权情况下,不能修改其他应用程序的权限、数据等; | |
行为规范 | ||
- | 1.应用在用户未授权情况下,不能进行消费操作; | |
- | 2.应用不能包含故意破坏用户使用体验、阻碍用户正常使用手机或应用的任何行为; | |
- | 3.应用中不能包含任何侵犯用户知情权、选择权的恶意行为; | |
- | 4.应用在用户未授权情况下,不能利用漏洞等方式获取系统控制权限,进行非授权操作; | |
- | 5.如无必要的使用场景,应用不能在桌面、锁屏和其他应用上,弹出悬浮窗、自定义后台Toast、后台弹出Activity等骚扰用户的行为; | 1.应用锁屏通知开关处于关闭状态时,禁止在锁屏弹出任何信息。 |
2.仅允许导航、音乐、运动健康类应用的主功能,在锁屏上显示全屏覆盖界面;例如导航-路线导航、音乐-音乐播放、运动健康-记步轨迹。 | ||
3.在锁屏或其他应用界面上,仅允许聊天消息、短信息、闹钟等对推送有实时性要求的信息和弹出界面。 | ||
4.应用不能在未经用户主动设置或者用户主动发起时,弹出界面覆盖到桌面或其他应用之上。 | ||
- | 6.如无必要的使用场景,应用不能发送无法删除的常驻通知; | 仅允许音乐、下载,在离开应用界面后,不能在通知栏显示常驻通知,导致用户无法清除。 |
- | 7.应用不能弹出、显示影响用户体验的广告,如抬头、强制插屏、侧边等; | 1.禁止弹出任何广告界面覆盖在原有应用功能界面之上。 |
2.允许和原有界面功能平铺在一个界面的非弹出式广告(如微信朋友圈)。 | ||
- | 8.应用不能引导用户开启开发者选项,禁止引导用户开启USB调试模式; | 开发者选项和USB调试功能属于开发者调试设备的选项,禁止应用引导用户开启。 |
其他标准 | ||
- | 1.应用不能包含病毒、木马; | |
- | 2.应用不能包含漏洞、后门; | |
- | 3.应用不能包含国家法律禁止的内容,包括但不限于色情,赌博,或任何危害国家安全的信息; | |
- | 4.应用不能包含其他任何形式损害用户利益及资产的行为; | |
- | 5.应用不能通过热补丁,引入恶意行为和不符合本标准的行为; |
3.2 开发安全标准
- 3.2.1 Manifest和权限使用安全规范
注:权限的申请和使用应满足最小化原则。
问题描述 | 合格用例 | 详细说明 |
---|---|---|
1.权限管理 | ||
- | 1)不申请不需要使用的权限,为自定义权限设置合理的安全保护级别; | 申请权限满足最小化原则,申请权限申请的权限全部为应用功能所需,不申请多余的权限;应用自定义权限,自行根据数据和行为的安全敏感度,设置合理的安全保护级别。 |
- | 2)应用申请的权限,都必须有明确、合理的功能和使用场景; | 使用权限满足最小化原则,只有使用应用的某个功能,而对应到的某个权限为该功能和合理要求时,才允许使用相应权限。比如某聊天软件,必须在进行视频聊天、拍照等功能需要的场景下,才允许使用摄像头,而在其附属的新闻浏览功能中,不允许使用摄像头。 |
- | 3)TargetSdkVersion>=23,必须适配Android M及以后版本的动态权限机制。 | 必须适配Android M及以后版本的动态权限机制,并且强烈建议适配到Android O(TargetSdkVersion>=26)。 |
- | 4)对于非核心权限,应用不能在权限动态弹框授权提示被用户拒绝后,强制要求用户开启,包括但不限于:a.应用退出;b.弹框提醒用户打开>=2次; | |
2.功能项管理 | 关闭不需要及有风险的功能选项,如数据备份功能、调试功能; | |
3.组件管理 | 组件声明的合理性,避免导出不需要外部调用的组件,如需导出应设置合理的权限保护; |
- 3.2.2 应用编码安全规范
问题描述 | 合格用例 |
---|---|
1.基础编码安全规范 | 1) 保证开发环境的安全性,如使用官方渠道下载的开发工具; |
- 避免硬编码关键数据,如加密密钥、后端服务器敏感信息等;
- 应用代码净化,代码逻辑优化、剔除应用中的死代码块;
- 统一的日志管理接口,避免在日志中记录敏感信息;
- 应用发布之前,关闭调试接口和调试日志。 |
| 2.系统API使用安全规范 | 1) 使用官方推荐版本的API接口,不使用系统废弃的API - 熟悉并遵从安全规范,避免遗漏安全限制操作,引入安全风险;
- 对关键操作身份校验和权限检查; |
| 3.第三方代码使用安全规范 | 1) 代码评估。来源可靠性评估、代码质量评估、潜在安全风险评估; - 权限控制。确认引入代码所需使用的权限最小化;
- 更新维护。关注代码的安全动态和版本更新情况,及时修复安全问题,更新代码;
- 安全保护。对引入的代码进行混淆,防止攻击者针对性的攻击; |
| 4.代码保护安全规范 | 1) 代码混淆。提高攻击者代码分析难度; - 加固保护。使用自研或者第三方加固系统进行应用加固,进行代码隐藏和加密保护; |
- 3.2.3 数据安全规范
问题描述 | 合格用例 |
---|---|
1.数据加密安全规范 | 1) 数据密文和加密密钥应存放在不同的位置; |
- 密钥存储模块应具备防调试及反编译的能力;
- 密钥数据应分散存储,为获取密钥密文增大难度 |
| 2.数据存储安全规范 | 1) 应用程序关键数据应该存放在私有目录下,并设置合理的访问权限; - 应用程序中的隐私数据应加密存储。用于加密的密钥应妥善保存;
- 禁止程序运行日志中包含有用户敏感数据、程序调试数据等; |
| 3.数据使用安全规范 | 1) 数据合法性保护。控制用户输入数据的类型、长度,进行恶意代码过滤等; - 数据完整和有效性保护。对于接收到的外部数据、加载的外部文件,进行完整、有效性性检查; |
- 3.2.4 通信安全
问题描述 | 合格用例 |
---|---|
1.本地通信安全 | 1) intent数据安全。避免在intent包含用户敏感数据,从intent中获取数据时加入必要的异常处理; |
- intent scheme url 协议安全。使用过程中加入安全限制,防止UXSS等安全问题;
- 组件调用方式安全。避免通过隐式方式进行调用组件,防止组件劫持;
- 本地socket通信安全。避免是使用socket方式进行本地通信,如需使用,localhost端口号随机生成,并对端口连接对象进行身份认证和鉴权; |
| 2.远程通信安全 | 1) 使用https代替http进行通信,并对https证书进行严格校验; - 避免进行远程端口开发通信,如需使用,需要对端口连接对象进行身份认证和鉴权; |
- 3.2.5 业务安全
问题描述 | 合格用例 |
---|---|
1.认证和授权 | 1) 认证和授权过程应在服务器端完成,避免客户端绕过问题; |
- 对于涉及敏感信息的服务,每次使用前需进行身份认证;
- 控制登录凭证token有效期,通信过程中进行token鉴权;
- 避免在终端设备上使用不安全的方法来存储用户名、口令及其它登录凭证;
- 用户密码需要使用强不可逆的加密算法加密后传输,并引入salt,提高破解难度;
- 账户号和终端设备信息进行绑定,防止终端模拟攻击; |
| 2.业务逻辑及数据安全 | 1) 条件判断。确保逻辑过程中前置判断条件的有效性、不可绕 过性,防止攻击者进行数据修改绕过安全限制; - 逻辑设计。确保业务逻辑设计、分支条件及边界条件处理的正确性和完备性,防止不可控执行流程;
- 工作分配。确保服务端和客户端分工正确,防止一些应该放在服务端的校验工作设置在了客户端,造成权限校验绕过;
- 业务数据。关键业务数据防篡改、防伪造、防重放;
- 短信验证码安全。禁止验证码回传行为,验证码至少6位,同时严格限定验证码时效; |
| 3.业务运维安全 | 1) 业务风险监控、预警、异常处理预案; - 安全动态跟踪及预警、安全事件排查、漏洞修复; |
- 3.2.6 运行环境安全
问题描述 | 合格用例 |
---|---|
运行环境安全 | 1) 运行期重打包检测; |
- 模拟器运行环境检测;
- 调试、注入操作监控;
- root环境运行检测; |
- 3.2.7 隐私安全
问题描述 | 合格用例 |
---|---|
隐私安全 | 1) 涉及到应用下载软件、对用户系统或软件升级等修改用户个人空间的行为,须得到用户的同意 |
- 收集或使用个人数据前,须明确提示用户,并获得用户的明示同意,并且允许用户随时关闭对个人数据的收集和使用
- 默认禁止收集数据主体的敏感个人数据,除非业务必需(如:运动健康类业务)或为了满足法律与监管机构要求可收集和处理(含profiling),并且同意应该单独收集
- 应提供对用户的同意和撤销同意行为进行记录的机制
- 隐私声明内容发生变化时,须告知用户查看并获得用户同意
- 个人数据收集范围、使用目的不得超出隐私声明,且遵循最小化原则,当个人数据的采集范围、使用目的发生变更时,应及时更新隐私声明
- 于存储个人数据的系统,需对存储的个人数据定义存留期
- 数据主体撤销同意之后,产品必须禁止继续收集和处理其相应个人数据
- 将数据主体个人数据提供给第三方前,必须获得数据主体的同意
- 推送的内容(含广告)必须是符合政治、法律和宗教要求,并且推送频度不能干扰用户正常使用
- 第三方应用软件调用移动智能终端敏感功能时,应先获得用户明确同意
- 第三方应用软件对用户数据操作时,应先获得用户明确同意
- 应用软件不得申请和调用与提供服务无关的终端功能 |
(4)功耗标准
问题描述 | 判定标准 | 合格用例 | 特殊考虑事项 |
---|---|---|---|
后台处理器占用 | 测量应用在后台时对处理器的占用及Wake Lock设置情况 | 1. 平均每小时占用处理器累计时间不超过90秒,即处理器平均占用率不超过2.5% | |
2. 禁止应用设置WakeLock | 以下场景除外: | ||
1. 后台播放视频、音乐或观看直播时 | |||
2. 后台导航时 | |||
3. 后台下载视频、音乐或离线地图时 | |||
4. 后台进行收发消息、游戏挂机时 | |||
5. 后台欺诈拦截、网络安全扫描、流量监控、定时提醒时 | |||
后台屏幕占用 | 测量应用在后台时对屏幕的占用 | 1. 不允许一切后台应用阻止屏幕自动变暗或关闭 | |
2. 不允许应用在屏幕变暗或关闭时点亮屏幕 | 以下场景除外:后台收发消息、定时提醒时 | ||
后台无线网络占用 | 测量应用在后台时对无线网络的占用 | ||
(无线网络包括:Wi-Fi、数据连接、蓝牙及红外等无线信号网络。) | 1. 平均每小时使用无线网络传输数据时间不超过5分钟 | ||
2. 平均每小时对无线网络的扫描不超过60次 | 以下场景除外: | ||
1. 后台播放在线视频、音乐或观看直播时 | |||
2. 后台导航时 | |||
3. 后台下载视频、音乐或离线地图时 | |||
4. 后台进行收发消息时 | |||
5. 后台欺诈拦截、网络安全扫描或流量监控时 | |||
后台音频设备占用 | 测量应用在后台时对音频设备的占用 | 禁止此情况下应用使用麦克风或扬声器 | 以下场景除外: |
1. 后台播放在线视频、音乐或观看直播时 | |||
2. 后台导航时 | |||
3. 后台定时提醒时 | |||
后台摄像头占用 | 测量应用在后台时对摄像头的占用 | ||
(摄像头包含:前置摄像头、后置摄像头、红外摄像头及闪光灯) | 禁止此情况下应用使用摄像头或闪光灯 | ||
后台定位传感器占用 | 测量应用在后台时对定位传感器的占用 | 禁止此情况下应用使用定位传感器 | 以下场景除外: |
1. 后台导航时2. 后台轨迹追踪时 | |||
3. 后台下载离线地图时 | |||
后台动作传感器占用 | 测量应用在后台时对动作传感器的占用 | 禁止此情况下应用使用动作传感器 | 以下场景除外: |
1. 后台导航时 | |||
2. 后台记步时 | |||
后台Alarm占用 | 测量应用在后台时对Alarm的占用 | 平均每小时通过Alarm调起的次数不超过20次 | 以下场景除外: |
1. 后台播放视频时 | |||
2. 后台收发消息时 |
(5)性能标准
5.1 适用范围
应用类型 | 核心场景 |
---|---|
自我介绍一下,小编13年上海交大毕业,曾经在小公司待过,也去过华为、OPPO等大厂,18年进入阿里一直到现在。 |
深知大多数初中级Android工程师,想要提升技能,往往是自己摸索成长或者是报班学习,但对于培训机构动则近万的学费,着实压力不小。自己不成体系的自学效果低效又漫长,而且极易碰到天花板技术停滞不前!
因此收集整理了一份《2024年Android移动开发全套学习资料》,初衷也很简单,就是希望能够帮助到想自学提升又不知道该从何学起的朋友,同时减轻大家的负担。
既有适合小白学习的零基础资料,也有适合3年以上经验的小伙伴深入学习提升的进阶课程,基本涵盖了95%以上Android开发知识点,真正体系化!
由于文件比较大,这里只是将部分目录截图出来,每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频,并且会持续更新!
如果你觉得这些内容对你有帮助,可以扫码获取!!(备注:Android)
![](https://i-blog.csdnimg.cn/blog_migrate/42adf3f0be6354575e440c91d3df3c8f.jpeg)
最后
其实Android开发的知识点就那么多,面试问来问去还是那么点东西。所以面试没有其他的诀窍,只看你对这些知识点准备的充分程度。so,出去面试时先看看自己复习到了哪个阶段就好。
上面分享的百度、腾讯、网易、字节跳动、阿里等公司2021年的高频面试题,博主还把这些技术点整理成了视频和PDF(实际上比预期多花了不少精力),包含知识脉络 + 诸多细节,由于篇幅有限,上面只是以图片的形式给大家展示一部分。
【Android思维脑图(技能树)】
知识不体系?这里还有整理出来的Android进阶学习的思维脑图,给大家参考一个方向。
【Android高级架构视频学习资源】
**Android部分精讲视频领取学习后更加是如虎添翼!**进军BATJ大厂等(备战)!现在都说互联网寒冬,其实无非就是你上错了车,且穿的少(技能),要是你上对车,自身技术能力够强,公司换掉的代价大,怎么可能会被裁掉,都是淘汰末端的业务Curd而已!现如今市场上初级程序员泛滥,这套教程针对Android开发工程师1-6年的人员、正处于瓶颈期,想要年后突破自己涨薪的,进阶Android中高级、架构师对你更是如鱼得水,赶快领取吧!
《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取!
的少(技能),要是你上对车,自身技术能力够强,公司换掉的代价大,怎么可能会被裁掉,都是淘汰末端的业务Curd而已!现如今市场上初级程序员泛滥,这套教程针对Android开发工程师1-6年的人员、正处于瓶颈期,想要年后突破自己涨薪的,进阶Android中高级、架构师对你更是如鱼得水,赶快领取吧!
《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取!