Ein handler.proceed() in onReceivedSslError, einmal für einen Staging-Server ergänzt, oder addJavascriptInterface in einer WebView, die beliebige URLs aus einem Deep Link öffnet: Ersteres ermöglicht jedem im selben WLAN, den Datenverkehr Ihrer Nutzer mitzulesen; Letzteres erlaubt jeder Webseite, Code Ihrer App aufzurufen. Dieser Skill findet diese und neun weitere Fehler im Android-Code vor der Veröffentlichung und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für die .kt- und .java-Dateien Ihrer App sowie die String-Ressourcen in res/values aus. Er liest Kotlin und Java als Code (Kommentare, Raw-Strings, $templates), überspringt Tests, generierten Code und Build-Ordner und erkennt übliche Schutzmaßnahmen: if (BuildConfig.DEBUG), Debug-Source-Sets, eine Freigabeliste in shouldOverrideUrlLoading, ?-Platzhalter in SQL und FLAG_IMMUTABLE in einer lokalen Variablen. Schlüssel, die für die Auslieferung in Apps vorgesehen sind, etwa Google-Maps- und Firebase-Schlüssel, werden nicht gemeldet. Der Scanner führt weder Gradle noch die App aus. Er gibt BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen zurück. Geheime Werte werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• A01: eine WebView-JavaScript-Bridge (addJavascriptInterface) auf einer aus dem Web oder über einen Intent geladenen Seite ohne Freigabeliste für die Navigation

• A02: onReceivedSslError mit proceed()-Aufruf, TrustManager, die allen Zertifikaten vertrauen, und Hostnamenprüfer, die jeden Host akzeptieren

• A03: Geheimnisse im Code oder in String-Ressourcen: bekannte Schlüsselformate, Supabase-service_role-Schlüssel, feste Authorization- und X-Api-Key-Header, Gemini-Schlüssel, lange Werte unter geheimen Namen

REVIEW (vor dem Release prüfen)

• A11: in einfachen SharedPreferences oder Preferences DataStore gespeicherte Tokens und Passwörter

• A12: Tokens, Passwörter und Sitzungs-IDs in Log-, Timber- oder println-Ausgaben sowie HttpLoggingInterceptor mit Protokollierung von Nachrichteninhalten oder nicht geschwärzten Headern

• A13: MODE_WORLD_READABLE, setReadable(true, false) und chmod 666 oder 777

• A14: PendingIntents ohne FLAG_IMMUTABLE oder FLAG_MUTABLE bei einem impliziten Intent

• A15: http://- und ws://-Server im Code und in String-Ressourcen sowie gemischte Inhalte in WebView

• A16: WebView-Dateizugriff (allowFileAccess und Einstellungen für den Zugriff über Datei-URLs)

• A17: SQL für rawQuery, execSQL oder SimpleSQLiteQuery, das mit Templates oder + aus Textwerten zusammengesetzt wird (typisierte Zahlen sind zulässig)

• A18: außerhalb von Debug-Builds aktiviertes WebView-Debugging

Lieferumfang

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Android-Beispielprojekt sowie der tatsächliche Scannerbericht zum unsicheren Beispiel

Einschränkungen

Jede Datei wird so analysiert, wie sie geschrieben ist: Dateiübergreifend weitergegebene Werte, Gradle-buildConfigField-Werte, AndroidManifest.xml, nativer Code und Ihre Abhängigkeiten werden nicht geprüft. NOT FLAGGED ist keine Sicherheitsgarantie.

Inhalt

Ein ZIP-Archiv mit 25 Dateien: SKILL.md, der Scanner unter scripts/ (6 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (16 Beispieldateien sowie report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

Verwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich Ihre Dateien: kein Netzwerkzugriff und keine Datenübertragung.