Android SDK加固前如何检查动态加载场景
我在给 SDK 做加固前，想先确认项目里有没有动态加载场景。通常应该从哪些位置入手排查，才能比较全面地发现这类代码？
从代码入口、依赖调用和运行时行为三方面排查
可以先从代码入口入手，重点查看是否存在 DexClassLoader、PathClassLoader、BaseDexClassLoader、反射调用以及通过 Java/Kotlin 直接加载外部 dex、jar、so 的逻辑。接着检查依赖库和业务封装层，很多动态加载并不写在主业务代码里，而是藏在插件框架、热修复组件、资源更新模块或第三方 SDK 中。还可以结合运行时行为观察安装目录、临时文件目录、私有存储目录是否会生成新的 dex、odex、so 文件，以及应用启动、页面跳转、功能开关时是否会触发远程下载与加载动作。把静态检索和运行时验证结合起来，能更准确判断是否存在动态加载场景。
我担心加固会影响插件化、热修复或动态更新能力。除了确认它们存在，还应该关注哪些具体风险，才能避免加固后功能异常？
关注加载路径、签名校验、壳兼容性与资源访问方式
插件化和热修复场景下，重点要看动态代码的加载路径是否固定，是否依赖特定目录权限，是否使用了自定义 ClassLoader，以及加载过程是否有签名校验和完整性校验。还要确认加固壳是否会改变类加载顺序，是否会拦截反射、JNI 调用或资源访问逻辑，因为这些变化可能影响补丁包、插件包或增量更新包的解析。对于资源型更新，还要检查资源 id、assets 读取、文件映射和路径拼接方式是否依赖原始包结构。把这些点提前梳理清楚，能减少加固后出现闪退、加载失败或热更新失效的问题。
代码里看到了疑似动态加载逻辑，但不确定它是不是实际生效。有没有比较稳妥的方法，能在测试阶段确认这些逻辑会不会被真实调用？
通过日志、抓包、文件观察和断点联动验证
可以在测试环境里给相关加载入口埋点，观察哪些页面操作、接口返回或配置开关会触发动态加载。配合日志分析，查看是否有下载地址、文件保存路径、ClassLoader 初始化和 dex 解析记录。再结合文件系统观察，确认是否产生了新的动态代码文件或缓存文件。若条件允许，可以在调试环境中对加载入口打断点，查看代码是否会走到加载分支、校验分支和反射分支。通过日志、网络、文件和断点四类信息交叉验证，能够判断动态加载是否真实发生，而不是仅停留在代码静态存在。
我主要检查了业务代码，但还是担心漏掉一些隐藏场景。哪些第三方库、框架或基础能力最容易带有动态加载特征，排查时需要特别留意？
重点留意插件框架、热修复库、WebView 容器和云控组件
比较容易被忽略的包括插件框架、热修复库、动态化组件、A/B 实验平台、云控开关组件，以及某些会拉取远程配置并按需加载模块的基础 SDK。WebView 容器也值得关注，因为页面脚本、远程资源和本地桥接逻辑有时会间接触发动态行为。还有一些业务看似只是埋点、统计或推送 SDK，但内部可能包含自更新、远程策略执行或本地代码下载能力。排查时建议把三方库清单、调用链和初始化流程一起看，避免只盯着主工程而漏掉隐藏加载点。