Android SDK 33是否依赖Expat 2.4.8？如何更新至2.5.0？

1. Expat是否为Android SDK的依赖？ #

是的，Expat是Android SDK Platform的核心依赖组件之一，Android SDK 33默认绑定的就是Expat 2.4.8版本。由于Android SDK的大版本（如33）发布后，核心依赖库的版本通常不会通过常规补丁更新变更，所以你更新SDK后Expat版本未变化是正常情况。

2. 可行的更新方案 #

强制覆盖Expat版本 #

在你的.NET Maui项目的.csproj文件中添加以下配置，直接指定Expat的安全版本（如2.5.0或更高），让项目优先使用你指定的版本，覆盖SDK自带的旧版本：

<ItemGroup>
  <!-- 直接引用指定版本 -->
  <PackageReference Include="Expat" Version="2.5.0" />
  <!-- 或者使用PackageOverride强制覆盖 -->
  <PackageOverride Include="Expat" Version="2.5.0" />
</ItemGroup>

升级Android SDK Platform到更高版本 #

Android SDK Platform 34及后续版本已将Expat升级到2.5.0及以上的安全版本。你可以通过Android Studio的SDK Manager安装SDK Platform 34，然后修改项目的目标框架：
在.csproj中更新目标框架配置：

<TargetFrameworks>net7.0-android34;net7.0-ios;...</TargetFrameworks>

注意：升级SDK版本后，需要检查项目中是否有依赖Android 33特定API的代码，适配34版本的权限和行为变更。

排查第三方依赖的间接引用 #

Expat可能是通过项目中的第三方NuGet包间接引入的，而非SDK本身。你可以运行以下命令查看完整依赖树，确认Expat的来源：

dotnet list package --include-transitive

如果发现是某个第三方包带来的旧版本Expat，直接升级该第三方包到修复了依赖的版本即可。

启用R8代码优化（辅助方案） #

开启R8混淆和代码收缩功能，可移除未被项目使用的Expat旧版本代码，降低漏洞暴露风险。在项目的Android配置中启用R8，并确保必要的Expat代码保留（可参考官方R8规则文档调整）。不过这只是辅助手段，优先推荐直接升级版本。

内容的提问来源于stack exchange，提问作者grant22