如何检测Android应用后台位置调用代码及Google Play合规问题处理

问题1答复 #

存在该可能性。MapBox 6.6.0版本内置默认位置引擎，存在懒加载逻辑：即便你没有显式调用位置拉取初始化接口，只要你开启了地图我的位置图层、调用过MapboxMap位置相关渲染方法，SDK会自动初始化内部位置引擎，触发位置更新。另外还要注意Manifest合并规则，MapBox依赖包可能自带位置服务组件注册，若你没有在页面生命周期结束时完全销毁地图实例，残留的引用可能触发后台位置调用。

问题2答复 #

可以通过以下方法定位后台位置调用行为：

• 使用Android Studio的App Inspection工具，切换到位置标签页，勾选仅后台调用过滤选项，模拟应用退后台操作，可直接查看所有位置API调用的栈轨迹，包括第三方SDK的调用路径。
• 在Application全局注册ActivityLifecycleCallbacks，监听系统的位置权限使用回调，只要有位置API被调用就打印调用栈，可精准定位调用时机和触发方。
• 用aapt2工具解析正式签名APK的Manifest文件，确认是否存在被第三方SDK合并注入的ACCESS_BACKGROUND_LOCATION权限、以及位置相关服务/广播组件。
• 测试时在系统开发者选项中开启应用访问位置信息通知，应用退到后台后如果收到位置访问通知，即可确认存在后台调用行为。

问题3答复 #

你可以采取以下优化措施推进合规审核：

• 强制移除潜在的后台位置权限注入：在主项目AndroidManifest.xml中添加如下节点，禁止第三方SDK合并后台位置权限：

  <uses-permission android:name="android.permission.ACCESS_BACKGROUND_LOCATION" tools:node="remove" />
  

  同时在build.gradle中排除MapBox内置的位置模块依赖，避免SDK自动调用位置：

  implementation ("com.mapbox.mapboxsdk:mapbox-android-sdk:6.6.0") {
      exclude group: 'com.mapbox.mapboxsdk', module: 'mapbox-android-location'
  }
  

• 调整位置监听器的生命周期绑定逻辑：将监听器注册逻辑移到onResume()，移除逻辑移到onStop()，不要放在onPause()执行。部分高版本Android系统中onPause()触发后应用仍属于可见后台范畴，该场景下的位置调用会被判定为后台访问。
• 重新提交应用时，在Play控制台App Content板块上传操作录屏：完整录制从应用启动申请位置权限、前台使用导航功能、到退到后台的全流程，证明退后台后无位置访问通知弹出。
• 若申诉仍被驳回，提交审核时附带本地测试的位置调用栈日志，明确说明所有位置API的调用都发生在前台生命周期，无后台访问行为。

内容的提问来源于stack exchange，提问作者App4Buck