谷歌宣布了针对 Android 应用程序开发人员的几项关键策略变更，以提高用户、Google Play 和该服务提供的应用的安全性。将在 2022 年 5 月 11 日至 11 月 1 日之间生效，给开发者足够的时间来适应新的变化。
根据 BleepingComputer 介绍，其中与网络安全和欺诈相关重要的变化包括有：
- 新的 API level target requirements。
- 禁止年利率（APR）为 36% 或以上的贷款应用程序。
- 禁止滥用 Accessibility API。
- 对从外部来源安装包的权限进行新的策略修改。
新的 API level targets
从 2022 年 11 月 1 日起，所有新 released/published 的应用程序必须针对最新主要 Android 版本发布后一年内发布的 Android API level。
![]()
对新发布的应用程序的 API level targeting requirement
那些未能遵守这一要求的应用将被拒绝列入 Android 的官方应用商店 Play Store。现有的应用程序如果不以最新的主要 Android 版本两年内的 API level 为目标，将会被从 Play Store 中删除。
![]()
现有应用程序的 API level targeting requirement
这一变化旨在迫使应用程序开发人员采用更严格的 API 策略来支持较新的 Android 版本，通常是更好的权限管理和撤销、通知反劫持、数据隐私增强、网络钓鱼检测等。
谷歌方面在博客文章中解释称，背后的理由很简单：“拥有最新设备的用户或完全关注 Android 更新的用户希望充分发挥 Android 提供的所有隐私和安全保护的潜力。扩展我们的 target level API requirements 将保护用户免于安装可能没有这些保护措施的旧应用程序”。需要更多时间进行迁移的用户可请申请延期 6 个月。
此举预计将迫使一些过时的应用程序采用更安全的做法，但也将不可避免地把一些不再积极开发的项目推向 Play Store 之外，从而导致用户转向不知名来源获取想要的应用程序的 APK，加大感染恶意软件风险。
Accessibility API 滥用
Android 的 Accessibility API 允许开发人员创建可供残障人士使用的应用程序，从而允许创建不同的方式来控制设备和使用其应用程序。但是，此功能经常被恶意软件滥用，在未经用户许可甚至不知情的情况下在 Android 设备上执行操作。
因此，谷歌的新策略进一步限制了其使用方式：
- 未经用户许可改变用户设置，或阻止用户禁用或卸载任何应用程序或服务的能力；除非由家长或监护人通过家长控制应用程序授权，或由授权管理员通过企业管理软件授权。
- 绕过 Android 内置的隐私控制和通知；
- 以欺骗性或以其他方式违反 Google Play 开发者政策的方式更改或利用用户界面。
Policy for package fetching
谷歌还收紧了“REQUEST_INSTALL_PACKAGES”权限。将于 2022 年 7 月 11 日生效，适用于所有使用 API level 25（Android 7.1）及以上的应用程序。
许多恶意应用发布者将无害的代码提交到 Play Store 以使其提交获得批准，但用户在下载安装后却会在不知情的情况下引入恶意模块。谷歌希望通过执行新的权限策略来加强监管。要使用此权限，你的应用程序的核心功能必须包括：发送或接收应用包、启用用户发起的应用包的安装。
现在允许的功能将被限制在网页浏览或搜索、支持附件的通信服务、文件共享、传输或管理、以及企业设备管理。
除非用于设备管理目的，否则 REQUEST_INSTALL_PACKAGES 权限不得用于执行自我更新、修改或捆绑资产文件中的其他 APK。软件包的所有更新或安装都必须遵守 Google Play 的设备和网络滥用策略，并且必须由用户发起和推动。
