Android开发：如何检测设备已配置Always-On VPN

我开发了一款Android VPN应用，调用VPNService.prepare发起VPN启动授权流程时，如果设备上已经配置了Always-On（常开）VPN，调用会直接失败。这个拦截逻辑本身合理，但我需要提前检测到这种场景，给用户弹出友好提示。
这里的Always-On指Android系统定义的专用VPN常开标识，属于系统层面的固定配置规则。
目前我没有找到可获取该配置信息的公开接口：虽然系统内部已经在使用相关能力（比如系统VPN确认弹窗的逻辑中就会用到该状态判断，但对应的getAlwaysOnVpnPackage方法暂未对外开放）。
之前找到的参考方案是检测设备当前是否存在活跃VPN连接，但完全不满足需求，问题点如下：

• 我不需要检测临时VPN连接，只关注设备上是否配置了Always-On VPN
• 部分配置为Always-On的VPN并没有实际处于连接状态：只要设备设置了某个VPN为Always-On，哪怕这个VPN没有实际建立网络连接（系统只会显示持久化提示，引导用户去对应VPN应用激活连接），这个配置本身就会直接阻止其他VPN应用启动。但因为此时没有活跃网络连接，之前的活跃VPN检测方法完全失效，可这种配置状态依然会阻断我的应用启动，所以我必须检测这种场景。
  核心诉求：有没有公开方法，可以检测设备当前是否已经将某个VPN配置为Always-On状态？

Android 10（API 29）及以上版本 #

系统从API 29开始对外开放了VpnManager类的公开API，可直接获取Always-On VPN配置：

• 调用VpnManager.getAlwaysOnVpnPackage()方法，直接返回当前被设置为Always-On的VPN应用包名
• 返回值为null即代表设备没有配置任何Always-On VPN
  示例代码：

val vpnManager = getSystemService(VpnManager::class.java)
val alwaysOnVpnPkg = vpnManager.alwaysOnVpnPackage
val hasBlockingAlwaysOn = alwaysOnVpnPkg != packageName

注意：该方法不需要特殊权限，普通应用即可调用。如果返回的包名是应用自身，属于正常配置不需要提示；如果是其他应用包名，即可弹出友好提示，引导用户前往系统设置调整Always-On VPN配置。

Android 9（API 28）及以下版本 #

该阶段VpnManager尚未对外开放，getAlwaysOnVpnPackage属于隐藏API，直接反射调用会存在权限限制与兼容性问题，可通过以下逻辑间接检测：

• 正常调用VPNService.prepare(context)获取返回的Intent：
  • 如果返回null，说明当前无授权冲突，也不存在Always-On VPN的拦截逻辑，可直接启动VPN服务
  • 如果返回非空Intent，先判断Intent的目标组件：由Always-On配置导致的拦截，Intent会直接指向系统VPN设置页面，而非VPN授权弹窗，结合应用包列表即可区分冲突类型
• 辅助判断逻辑：存在未连接的Always-On VPN配置时，系统会在状态栏显示持续的VPN标识，可通过ConnectivityManager读取网络配置的持久化标记，确认是否存在Always-On类别的VPN配置项。

避坑提示 #

• 不要尝试反射调用隐藏的getAlwaysOnVpnPackage方法：API 28及更早版本中，该方法需要系统级权限，普通应用反射调用会直接抛出安全异常，无长期兼容性保障
• 检测到Always-On VPN冲突时，直接使用固定Action的Intent引导用户跳转至系统VPN设置页即可，无需依赖外部跳转链接

内容的提问来源于stack exchange，提问作者Tim Perry