Ein Release mit android:debuggable="true" lässt jeden einen Debugger an Ihre App anhängen, und ein exportierter Content Provider gibt seine Daten an jede andere App auf dem Telefon weiter. Dieser Skill findet diese und neun weitere Manifest-Fehler, bevor Sie bei Google Play veröffentlichen, und erklärt, wie Sie jeden beheben.

Ihr Agent führt einen Scanner über Ihr Android-Projekt aus: jede AndroidManifest.xml (natives Android, Flutter, React Native, Bibliotheksmodule) und jede Netzwerksicherheitskonfiguration unter res/xml. Er liest XML mit dem eigenen Parser von Python, daher spielen Kommentare, Attributreihenfolge und mehrzeilige Tags keine Rolle, und er zeigt die Zeile des Attributs, das ausgelöst hat. Debug- und Test-Source-Sets werden gelesen, aber nicht gemeldet. Er führt nie Gradle oder die App aus. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Grund und einem sichereren Ansatz. Secrets werden nie ausgegeben.

Was geprüft wird

BLOCK (vor dem Release beheben)

• M01: android:debuggable="true"

• M02: Klartext-HTTP erlaubt (usesCleartextTraffic oder cleartextTrafficPermitted)

• M03: ein Content Provider, der ohne Berechtigung exportiert ist

• M04: vom Benutzer installierten Zertifikaten wird außerhalb von debug-overrides vertraut

REVIEW (vor dem Release prüfen)

• M11: App-Daten werden in Backups kopiert (allowBackup ohne Backup-Regeln)

• M12: ein Service, Receiver oder eine Activity, die ohne Berechtigung exportiert ist

• M13: ein intent-filter ohne android:exported (schlägt ab Android 12 fehl)

• M14: android:testOnly="true"

• M15: eingeschränkte Google-Play-Berechtigungen (SMS, Anrufliste, QUERY_ALL_PACKAGES, Zugriff auf alle Dateien)

• M16: ein https-Deep-Link ohne android:autoVerify

• M17: ein Secret in meta-data

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Grund und sichererem Ansatz für jede Regel

• Ein riskantes und ein sicheres Beispiel für App-Manifest und Netzwerksicherheitskonfiguration sowie der echte Bericht des Scanners zu den riskanten

Grenzen

Er prüft jedes Quellmanifest für sich, nicht das zusammengeführte Manifest, daher werden Attribute aus Bibliotheken, Build-Typen und Gradle-Platzhaltern nicht berücksichtigt. Java- und Kotlin-Code wird nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 10 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Grund und sichererem Ansatz) und examples/ (5 Beispieldateien plus report.md, die echte Scanner-Ausgabe zum riskanten Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne Installation. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, nichts wird irgendwohin gesendet.