如何排查Android应用Binder泄漏及识别对应的Binder对象类？

获取Binder对象统计信息 #

1. 通过adb命令查看整体统计 #

执行以下命令：

adb shell dumpsys

可获取目标进程的各类对象使用列表，其中包含Binder相关统计：

Objects
               Views:      171         ViewRootImpl:        3
         AppContexts:       13           Activities:        3
              Assets:       23        AssetManagers:        0
       Local Binders:      681        Proxy Binders:       90
       Parcel memory:       26         Parcel count:       89
    Death Recipients:        9      OpenSSL Sockets:        0
            WebViews:        0

2. 运行时通过API打印Binder数量 #

也可以在应用代码中调用以下API，在运行时打印本地和代理Binder的数量：

Log.d(TAG, "Local: " + Debug.getBinderLocalObjectCount() + "  Proxy: " + Debug.getBinderProxyObjectCount());

问题场景 #

维护他人开发的复杂应用时，难以定位Binder对象泄漏的具体位置，仅当应用因耗尽Binder资源崩溃时，系统才会输出BinderProxy描述符的直方图日志：

11-29 17:53:43.284932  1016  1059 V Binder  : BinderProxy descriptor histogram (top 10):
11-29 17:53:43.285382  1016  1059 V Binder  :  #1: android.app.IServiceConnection x4160
11-29 17:53:43.285666  1016  1059 V Binder  :  #2: android.view.IWindow x1729
11-29 17:53:43.285827  1016  1059 V Binder  :  #3: android.content.IIntentReceiver x288
11-29 17:53:43.286048  1016  1059 V Binder  :  #4: android.database.IContentObserver x232
11-29 17:53:43.286146  1016  1059 V Binder  :  #5: <cleared weak-ref> x164
11-29 17:53:43.286215  1016  1059 V Binder  :  #6:  x61
11-29 17:53:43.286286  1016  1059 V Binder  :  #7: android.content.IContentProvider x61
11-29 17:53:43.286367  1016  1059 V Binder  :  #8: android.app.IApplicationThread x51
11-29 17:53:43.286434  1016  1059 V Binder  :  #9: android.hardware.display.IDisplayManagerCallback x51

解决方案：识别Binder对象并定位泄漏点 #

1. 识别日志中的Binder类 #

日志里的android.app.IServiceConnection这类名称，对应的是AIDL生成的接口类，它们的代理实现类通常是IServiceConnection.Stub.Proxy，本地实现类是IServiceConnection.Stub。直接根据这些接口名，在项目中搜索对应的AIDL文件或生成的Java类，就能找到关联的Binder实现。

2. 关联Binder句柄到构造函数 #

Android系统没有原生API直接绑定Binder句柄到构造函数，但可以通过以下方式实现追踪：

• 结合堆栈日志：在应用启动时开启StrictMode的VM检测，或者在关键逻辑点添加Log.d(TAG, new Throwable().getStackTrace().toString())，捕获Binder对象创建时的调用栈，关联句柄与创建位置。
• 使用系统调试工具：执行adb shell dumpsys binder命令查看更详细的Binder信息，包括每个Binder的句柄、引用计数和所属进程，结合应用堆栈日志可对应到创建点。

3. Hook API记录Binder创建 #

可以通过字节码插桩或Hook框架拦截Binder对象的创建：

• Hook BinderProxy构造函数：用Xposed、Frida等框架，Hookandroid.os.BinderProxy的构造函数，每次创建时记录调用堆栈和接口类型。示例Frida脚本：

Java.use("android.os.BinderProxy").$init.implementation = function() {
    this.$init();
    const descriptor = Java.cast(this, Java.use("android.os.IInterface")).getInterfaceDescriptor();
    console.log("BinderProxy created: " + descriptor);
    console.log(Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Throwable").$new()));
};

• 字节码插桩：用AspectJ或ASM，在所有Binder接口的Stub.Proxy构造函数中插入日志代码，记录创建时的调用栈。

4. 高频泄漏类型专项排查 #

从崩溃日志看，IServiceConnection数量高达4160，优先排查服务绑定相关代码：

• 检查是否每次绑定服务后都正确调用unbindService()，尤其是在Activity/Fragment销毁时。
• 排查是否存在重复绑定服务但未解绑的场景，比如循环调用绑定逻辑。
• 查看ServiceConnection实例是否被长期持有，导致无法回收。

内容的提问来源于stack exchange，提问作者SparkyNZ