基于OWASP MASVS，安卓应用仅弹出root检测警告是否合规？

• 首先要明确OWASP MASVS针对不同安全等级的应用有差异化要求，不存在统一的"符合/不符合"结论，需要结合应用的定位和所属安全等级判断：
  • 如果你测试的是**MASVS-L1（基础安全级）**应用：这类应用一般不处理高敏感核心数据（例如普通资讯类、工具类应用），检测到ROOT后仅弹出风险提示、由用户自主选择是否继续运行的实现，完全符合L1级要求。L1级没有强制要求应用检测到ROOT后必须终止运行，仅要求风险提示逻辑清晰、用户可感知即可。
  • 如果你测试的是**MASVS-L2（增强安全级）**应用：这类应用处理金融交易、个人敏感医疗/身份信息、政务核心数据等高敏感内容，仅弹出提示由用户自主选择的实现不符合要求。L2级明确要求应用检测到ROOT、越狱等不安全运行环境时，必须限制核心敏感功能的使用，风险极高的场景下需要直接阻止应用继续运行，不能将风险选择权完全交给对安全风险认知不足的普通用户。
  • 如果你测试的是需要满足**MASVS-R（韧性安全级）**的应用：这类应用有防逆向、防篡改、防调试的强安全需求，该实现完全不符合要求。MASVS-R要求检测到ROOT等不安全环境后必须直接终止应用运行，或完全禁用所有核心功能，不得给用户提供继续运行的入口，避免攻击者利用ROOT环境对应用进行调试、篡改。
• 补充例外场景：如果应用做了功能分层控制，ROOT环境下仅允许用户使用非敏感普通功能，涉及高敏感操作时会直接拦截禁止，哪怕允许用户进入应用主界面，也符合对应安全等级的要求。

内容的提问来源于stack exchange，提问作者Mehran