应用预启动报告提示动态加载代码含不安全加密模式，求排查依赖原因

核心结论 #

你遇到的bjqm.*、bpce.*这类混淆类，是第三方SDK动态加载的代码块——这类代码自带独立混淆逻辑，不会写入你的应用mapping.txt，哪怕你提交未混淆的内部构建，它们的代码依然保持混淆状态。结合近期开发者反馈，这个警告大概率和Google静态分析器规则更新有关，同时也指向特定第三方依赖。

嫌疑依赖排查方向 #

这类动态加载的加密逻辑，基本集中在以下几类SDK：

• 广告SDK：比如AdMob、Unity Ads等，这类SDK常通过动态加载混淆代码实现设备指纹校验、请求签名加密；
• 统计/监控SDK：部分第三方统计工具会用动态加载的加密逻辑处理用户数据上报；
• 第三方登录/支付SDK：少数这类SDK会内置动态加载的加密模块。

优先检查小版本更新中新增或升级的依赖，尤其是广告类——近期大量开发者反馈AdMob的版本更新触发了这个警告。

关于分析器规则的验证 #

你的推测完全正确：Google近期确实更新了预启动报告的静态分析规则，之前未被标记的动态加载加密逻辑，现在被归类为“unsafe cryptographic patterns”。很多开发者在仅做小版本bug修复、未改动依赖的情况下也收到了相同警告，足以证明是分析器规则变化导致的。

排查与解决步骤 #

1. 对比依赖差异：回退到上一个无警告的版本，对比build.gradle或依赖锁文件，找出小版本更新中变动的依赖；
2. 移除验证：临时移除可疑依赖，构建版本提交预启动测试，观察警告是否消失；
3. 追踪加载来源：用adb logcat过滤dexopt或dynamic load相关日志，能捕捉到这些类的加载路径，定位具体SDK；
4. 申诉与反馈：如果确认是合法第三方SDK的逻辑，可在预启动报告的警告详情中提交申诉，说明这是SDK的合规加密操作，同时向SDK官方反馈该问题推动修复。

内容的提问来源于stack exchange，提问作者Erkki Nokso-Koivisto