zijunchiang
669766ba60
现场事故（新设备 SM-S9180 / Android 16，WebView 正常 → 走 JS 取址）: 277 JS [KtvApi] URL OK: 7303235 ls=1 via http://w.w345.my 278 点歌编号=7303235 标题=情歌(HD) 请求源=http://w.w345.my 状态=成功 urlHost=gz.ac16.vip 279 PLAY id=7303235 title=情歌(HD) src=local 即 gz.ac16.vip 的广告视频被当成歌曲下载、缓存并播放。 三处漏洞叠加: 1. ktv_api.js 的 isDemoUrl 不认识广告域名；且"ts 文件名与编号比对"用的是 /\/(\d+)\.ts/，只匹配纯数字名 —— my_ad_video.ts 这类非数字名字直接放行； 2. SongOkDownloadManager.buildDownloadUrl 的**成功分支完全没有广告校验** （AdVideoFilter.isAdVideo 全项目只在"缓存地址"与"原生解析"两处被调用）； 3. SongApiClient.fetchFromDb 只做 isLikelyDemoUrl（纯 IP / r2.dev），挡不住广告域名。 且**内容校验挡不住广告**: 该广告通过 SongFileValidator（≥6MB/≥60s/TS 包完整）， 被 isDownloaded() 一直复用，广告会反复播。 修复（单一闸门，全链路把关）: - AdVideoFilter 新增 isTrustedSongUrl(url, musicno)：非 http(s)、命中广告特征 （路径 /ad_files/、my_ad_video、**域名 *.ac16.vip**）、或 URL 里 .ts 文件名不等于 点歌编号 → 一律不可信。真源恒为 /<musicno>.ts（已实测 txog.ktvsky.com 与 download.origjoy.com 两个 CDN 域共 6 首全部相符）。 - 该闸门接入全部出入口: JS isDemoUrl（同步加固 + KTV_BRIDGE_API 8→9）、 SongUrlResolver.isValidSongUrl、SongApiClient.fetchFromDb、 以及最终兜底 SongOkDownloadManager.buildDownloadUrl（成功/缓存两条分支）。 - 判定不可信时**同时删除已落盘的歌曲文件**（purgeCachedSongFile）， 否则 isDownloaded() 会一直复用那个广告文件。 - 新增 SongOkDownloadManager.purgeLegacySongCacheOnce(): 升级后一次性清理历史遗留的 可疑歌曲缓存（marker: filesDir/song_cache_purged_v1）。只是让歌曲重新下载，不动用户数据。 - 新增回归测试 AdVideoFilterTest（6 例，用日志里的真实 URL 形态，含两个真源 CDN 域）； 该测试当场抓到本修复自身的一个 bug：正则把扩展名也捕获进去导致真源被误杀，已修正。 版本 1.4.9(29) 到 1.4.10(30)；签名证书不变。
105 lines
3.6 KiB
Groovy
105 lines
3.6 KiB
Groovy
plugins {
|
|
id "com.android.application"
|
|
id "org.jetbrains.kotlin.android"
|
|
}
|
|
|
|
android {
|
|
namespace "com.local.ktv"
|
|
compileSdk 35
|
|
|
|
defaultConfig {
|
|
applicationId "com.local.ktv"
|
|
minSdk 21
|
|
targetSdk 25
|
|
versionCode 30
|
|
versionName "1.4.10"
|
|
ndk {
|
|
// 双 ABI 打包:兼容 64 位(Exynos 1580 等 arm64-v8a)与 32 位设备(极米 Play 超越版
|
|
// 的 Amlogic 950X2/S905X2 采用 32 位 Android 用户态,必须包含 armeabi-v7a,否则
|
|
// 会出现 INSTALL_FAILED_NO_MATCHING_ABIS 安装失败)。
|
|
// Package each ABI's complete IJK set; never mix individual SOs across the two sets.
|
|
abiFilters "armeabi-v7a", "arm64-v8a"
|
|
}
|
|
// 曲库已改为官方 Muse 同步(database_publish 不再发布到 Gitee),
|
|
// 不再需要 GITEE_DATABASE_* 构建参数。
|
|
}
|
|
|
|
// 签名配置:使用已有的 ktv_keystore.jks
|
|
signingConfigs {
|
|
release {
|
|
storeFile file("../../ktv_keystore.jks")
|
|
storePassword "123456"
|
|
keyAlias "ktv"
|
|
keyPassword "123456"
|
|
}
|
|
}
|
|
|
|
buildTypes {
|
|
release {
|
|
minifyEnabled true
|
|
shrinkResources true
|
|
signingConfig signingConfigs.release
|
|
proguardFiles getDefaultProguardFile('proguard-android-optimize.txt'), 'proguard-rules.pro'
|
|
}
|
|
debug {
|
|
debuggable true
|
|
applicationIdSuffix ".qa"
|
|
}
|
|
}
|
|
|
|
// 支持 .ts 视频文件(aapt 不压缩这些文件以避免 SoundPool/MediaPlayer 问题)
|
|
androidResources {
|
|
noCompress 'ts', 'mp3', 'mp4', 'aac', 'm4a', 'flac', 'wav'
|
|
}
|
|
|
|
// lint 策略:
|
|
// - 「调用了高于 minSdk 且未做版本守卫的 API」(NewApi) 必须**阻断发布构建**:
|
|
// 这类问题在 Android 5.x / 6.x 上直接 NoSuchMethodError / NoClassDefFoundError 闪退,
|
|
// 而本地打包测试用的都是较新设备, 极容易漏出去(v1.4.0 在极米 H1S / Android 5.1.1
|
|
// 一打开就闪退, 根因就是 AudioDeviceCallback(API 23) 被写进了 Activity 的字段初始化器)。
|
|
// - ExpiredTargetSdkVersion 默认也是 fatal 级, 但本地分发的 APK 不上架 Google Play,
|
|
// 显式关掉, 否则会挤占下面这道闸门。
|
|
// - abortOnError 必须为 true: 设为 false 会把 lintVital 的失败一并吞掉, 闸门会失效。
|
|
lint {
|
|
fatal += ['NewApi']
|
|
disable += ['ExpiredTargetSdkVersion']
|
|
checkReleaseBuilds true
|
|
abortOnError true
|
|
}
|
|
|
|
// 启用 BuildConfig 生成,供 AboutFragment 读取版本号/版本Code等信息
|
|
buildFeatures {
|
|
buildConfig = true
|
|
}
|
|
|
|
compileOptions {
|
|
sourceCompatibility = JavaVersion.VERSION_17
|
|
targetCompatibility = JavaVersion.VERSION_17
|
|
}
|
|
|
|
kotlinOptions {
|
|
jvmTarget = "17"
|
|
}
|
|
|
|
}
|
|
|
|
// 强制统一 Kotlin 标准库版本,避免 appcompat 与其他依赖的版本冲突
|
|
configurations.all {
|
|
resolutionStrategy {
|
|
force "org.jetbrains.kotlin:kotlin-stdlib:1.8.22"
|
|
force "org.jetbrains.kotlin:kotlin-stdlib-jdk7:1.8.22"
|
|
force "org.jetbrains.kotlin:kotlin-stdlib-jdk8:1.8.22"
|
|
force "org.jetbrains.kotlin:kotlin-stdlib-common:1.8.22"
|
|
}
|
|
}
|
|
|
|
dependencies {
|
|
implementation files('libs/original-ijk-runtime.jar')
|
|
implementation "androidx.core:core:1.12.0"
|
|
implementation "androidx.appcompat:appcompat:1.6.1"
|
|
implementation "com.google.zxing:core:3.5.3"
|
|
implementation "com.liulishuo.okdownload:okdownload:1.0.7"
|
|
testImplementation "junit:junit:4.13.2"
|
|
|
|
}
|