坑位的概念

第一次听说坑位的概念是在360开源插件化框架RePlugin，我印象最深刻的就是在演讲过程中提到的只Hook了一处以及独创坑位概念。虽然下载了源码并且也大致了解了原理，但是自己好像还是有些模糊，感觉抓不到重点。昨天在看Hook AMS来实现启动一个不在AndroidManifest注册的Activity，因为版本问题，网上代码基本上都不行了。突然想起这个坑位法，决定自己尝试一次！

原理

• 坑位的概念是指在AndroidManifest中注册，但并没有真实的实现类，只作为其他Activity启动的坑位
• Hook点为ClassLoader，Android中的ClassLoader有两个，分别为DexClassLoader和PathClassLoader，用于加载APK的是PathClassLoader，也是Android里面默认的类加载器，这个也就是需要Hook的地方。

过程如下：

这个原理是真心简单，这里需要有关于ClassLoader和Activity启动流程的知识。
我们知道在启动一个新的Activity时，AMS会对其进行很多检测，例如是否在AndroidManifest中注册，是否有权限启动等等。如果这些都通过，那么需要判断当前的进程是否存在，不存在需要先调用 ActivityThread.main()方法，开启线程循环以及启动Application。最终会通过ActivityThread的Handler发送一条为“BIND_APPLICATION”的消息，通过这个消息，Handler来处理这次 Application的创建过程。这里会创建Application、LoadedApk等。

1. LoadedApk对象是APK文件在内存中的表示。 Apk文件的相关信息，诸如Apk文件的代码和资源，甚至代码里面的Activity，Service等组件的信息我们都可以通过此对象获取。注意：这里会创建一个ClassLoader作为类加载器，也就是我们需要Hook的。

LoadedApk.java public ClassLoader getClassLoader() { synchronized (this) { if (mClassLoader == null) { createOrUpdateClassLoaderLocked(null /*addedPaths*/); } return mClassLoader; } } 

1. Activity的创建是通过反射创建，使用的就是上面提到的ClassLoader，所以我们只需要Hook住这个ClassLoader，通过类的双亲委派机制来实现我们自己的逻辑即可。

源码分析部分省略，位置在ActivityThread处理LAUNCH_ACTIVITY的消息类型处。

代码实现

Hook代码：

 public static void hookClassLoader(Application context) { try { // 获取Application类的mLoadedApk属性值 Object mLoadedApk = getFieldValue(context.getClass().getSuperclass(), context, "mLoadedApk"); if (mLoadedApk != null) { // 获取其mClassLoader属性值以及属性字段 final ClassLoader mClassLoader = (ClassLoader) getFieldValue(mLoadedApk.getClass(), mLoadedApk, "mClassLoader"); if (mClassLoader != null) { Field mClassLoaderField = getField(mLoadedApk.getClass(), "mClassLoader"); // 替换成自己的ClassLoader mClassLoaderField.set(mLoadedApk, new ClassLoader() { @Override public Class<?> loadClass(String name) throws ClassNotFoundException { // 替换Activity if (name.endsWith("MainActivity2")) { Log.d(TAG, "loadClass: name = " + name); name = name.replace("MainActivity2", "MainActivity3"); Log.d(TAG, "loadClass: 替换后name = " + name); } return mClassLoader.loadClass(name); } }); } } } catch (NoSuchFieldException e) { e.printStackTrace(); } catch (IllegalAccessException e) { e.printStackTrace(); } } /** * 反射获取属性值 * * @param c class * @param o 对象 * @param fieldName 属性名称 * @return 值 * @throws NoSuchFieldException e * @throws IllegalAccessException e */ public static Object getFieldValue(Class c, Object o, String fieldName) throws NoSuchFieldException, IllegalAccessException { Field field = getField(c, fieldName); if (field != null) { return field.get(o); } else { return null; } } /** * 反射获取对象属性 * * @param aClass c * @param fieldName 属性名称 * @return 属性 * @throws NoSuchFieldException e */ private static Field getField(Class<?> aClass, String fieldName) throws NoSuchFieldException { Field field = aClass.getDeclaredField(fieldName); if (field != null) { field.setAccessible(true); } return field; } 

注释写的比较清楚，简单说下原理：

1. 获取Application的LoadedApk对象mLoadedApk
2. 获取LoadedApk的属性ClassLoader mClassLoader
3. 通过反射进行替换，这里写死了一些内容，比如遇到名称为MainActivity2的Activity则替换成MainActivity3

测试

1. Application初始化：

public class MyApplication extends Application { @Override public void onCreate() { super.onCreate(); HookUtils.hookClassLoader(this); } } 

1. 设置坑位
   AndroidManifest注册一个不存在的Activity

   
   
   坑位

2. 启动Activity

 override fun onCreate(savedInstanceState: Bundle?) { super.onCreate(savedInstanceState) setContentView(R.layout.activity_main) val listener = object : View.OnClickListener { override fun onClick(v: View?) { val intent = Intent() intent.component = ComponentName("com.example.administrator.test", "com.example.administrator.test.MainActivity2") startActivity(intent) } } // Example of a call to a native method sample_text.text = "MainActivity" bt_test.setOnClickListener(listener) } 

1. 结果

   
   
   结果

可以看到，通过这种方式实现了不在AndroidManifest中注册，但是可以启动Activity的效果。这里可以应用到插件化中，如Replugin，编译时自动注入坑位，运行时进行确定坑位。当然了，这里只是做一些微小的实现，如果想要真正完成完美的插件化，那真是革命尚未成功，同志仍需努力。

总结

当真正读懂摸个框架源码的时候，我常常会想：为什么我没有想到这种方式？可能是缺少经验，也可能是思维固化了吧。保持一颗学习的心，多看看，多想想。