因REQUEST_INSTALL_PACKAGES权限违规，如何排查Capacitor项目权限来源？

以下是几种精准定位该权限来源的实操方法：

• 查看完整合并后的清单文件
  直接到项目构建后的目录找到最终合并的AndroidManifest.xml，路径通常是app/build/intermediates/merged_manifests/[build变体]/AndroidManifest.xml（比如debug或release）。在这个文件里搜索REQUEST_INSTALL_PACKAGES，如果存在，Android会在权限行上方标注来源注释（比如<!--来自xxx插件的清单-->），直接定位引入源。

• 通过Gradle依赖树排查
  在Android项目根目录执行Gradle命令：

  ./gradlew app:dependencies
  

  输出结果中搜索REQUEST_INSTALL_PACKAGES，或者逐一检查插件依赖，看哪个插件的清单包含该权限。另外：

  • 检查Cordova插件localforage-cordovasqlitedriver的plugin.xml文件，确认是否直接声明了该权限，或它依赖的其他子插件是否引入。
  • 逐个查看Capacitor插件的Android端目录（android/src/main/）下的AndroidManifest.xml，排查权限声明。

• 检查动态权限申请代码
  全局搜索项目所有代码（包括插件源码），查找是否有以下相关调用：

  Context.checkSelfPermission(Manifest.permission.REQUEST_INSTALL_PACKAGES)
  // 或
  Activity.requestPermissions(new String[]{Manifest.permission.REQUEST_INSTALL_PACKAGES}, requestCode)
  

  部分插件可能通过动态方式申请权限，而非在清单中声明，这种情况也会触发权限违规检测。

• 利用Android Studio的Manifest合并分析工具
  打开项目中的AndroidManifest.xml，切换到Merged Manifest标签，点击右上角的Manifest Merging Report。这份报告详细记录了所有合并的清单条目，包括每个权限的来源依赖，哪怕是间接引入的权限也能精准追踪到。

• 排除SDK版本影响
  你在android-32 SDK中看到的权限定义是系统本身的权限常量，不是项目引入该权限的原因。可以检查项目build.gradle中的compileSdkVersion、targetSdkVersion，确认是否因依赖库适配高版本SDK而自动引入权限（这种情况概率较低，但可作为补充排查点）。

内容的提问来源于stack exchange，提问作者Thomas Degroot