关于Flutter应用CASA Tier 2验证无需分享源码的技术咨询

针对你遇到的CASA Tier2验证要求提交源码的问题，分享几个社区开发者亲测有效的替代方案：

1. 提交最小可复现工程而非完整源码 #

Google审核团队的核心需求是验证你对敏感权限的使用是否合规，而非审查你的全部业务逻辑。你可以：

• 提取与Google Fit/health包相关的核心代码：包括权限申请逻辑、步数数据获取流程、权限回调处理等，剥离所有无关的业务代码、UI组件、隐私数据处理模块。
• 构建一个独立的最小工程，确保它能正常编译运行，完整展示权限请求弹窗、授权流程、步数数据读取的全链路。
• 在工程中添加清晰的注释，标注每个代码块对应的Google Fit权限使用场景，比如哪部分是请求ACTIVITY_RECOGNITION权限，哪部分调用health包的步数查询API。

2. 申请源码豁免，用替代材料证明合规 #

如果你的源码包含商业机密，可通过CASA验证的沟通渠道提交申诉：

• 明确说明无法提供完整源码的原因（如涉及核心业务逻辑、知识产权保护）。
• 提供足够的替代验证材料：
  • 权限调用的时序图，展示从App启动到步数数据获取的全流程中权限的使用节点。
  • 完整的功能录屏，包括授权弹窗展示、用户授权后的数据读取过程、数据展示界面。
  • Google Fit API调用的日志截图，证明仅调用了与步数收集相关的接口，无超出权限范围的请求。
  • health包的配置说明，标注你实际使用的权限列表，排除未用到的敏感权限。

3. 精简权限范围，降低验证等级 #

检查你当前的权限申请是否存在冗余：

• 查看health包的配置，确认是否默认申请了超出步数收集所需的权限。比如Google Fit步数仅需要com.google.android.gms.permission.ACTIVITY_RECOGNITION和健身数据权限，可调整代码只请求这两项。
• 修改AndroidManifest.xml中的权限声明，移除不必要的敏感权限，同时在health包的权限请求代码中指定仅请求所需权限。权限范围缩小后，可能会降低验证要求，甚至无需Tier2的源码验证。

4. 利用测试通道过渡，同步推进验证 #

在等待验证结果期间，可保持项目在测试状态：

• 通过Google Cloud控制台添加生产环境的测试账号（最多支持100个），让核心用户或测试人员正常使用功能。
• 持续与Google验证团队沟通，补充合规证明材料，争取加快审核进度或调整验证要求。

内容的提问来源于stack exchange，提问作者Asif Ali Azim