最终 APK 多个 DEX 出现重复类时怎样做发布门禁

直接答案：扫描最终所有 DEX，并回连变体依赖图

最终 APK 出现多个 classes*.dex 时，发布门禁应枚举每个 DEX 的全部类描述符，建立 descriptor 到 dex 文件的反向索引。任何描述符出现在两个物理 DEX 中都先标记 blocked，再与当前 release 变体的 dependencyInsight、R8 mapping、重定位记录和加固输出对应，不能只看 classes.dex。

构建日志没有报 duplicate class 也不足以放行。依赖冲突可能已在早期被解析、打包工具可能重定位类，加固或二次处理还可能把旧实现残留到新 DEX。权威对象是最终签名候选，所有扫描结果绑定 APK SHA-256、工具版本和每个 DEX 摘要。

重复结构不等于已发生可利用漏洞，也不能立即认定某个 SDK 是根因。门禁先保存 descriptor、DEX 归属和来源线索，再从变体依赖图与处理流水线定位。修复后必须重新构建、扫描、签名、验签和设备回归，不能直接删除签名包中的条目。

多 DEX 是容量与加载布局，不是重复类的豁免

Android multidex 允许代码分散到多个 DEX，并在旧系统上采用相应加载路径。正常拆分的含义是不同类被分配到不同 DEX，不是同一 descriptor 可以在多个 DEX 中各保留一份。门禁需要区分多 DEX 布局和 duplicate descriptor，不能把后者解释为预期拆分。

旧系统的主 DEX 约束会影响哪些类必须放在 classes.dex，但主 DEX 列表不应复制类定义。若保护工具生成代理、桥接或兼容层，应使用新的唯一 descriptor，并验证引用目标。使用相同 descriptor 覆盖旧实现会让加载选择依赖工具和平台行为，不能作为发布设计。

扫描顺序不能决定有效类。即使某次设备总是加载第一份定义，另一个解析器、安装模式或后处理工具也可能采取不同路径。发布门禁拒绝歧义，从源依赖或变换阶段消除重复，而不是记录哪一份碰巧生效。

依赖解析必须锁定实际 release 变体和选择结果

Gradle 的直接与传递依赖形成解析图，同一模块可能因为约束、平台、替换或冲突策略选择特定版本。排查必须运行当前 release 变体的 dependencies 与 dependencyInsight，不读取另一个 flavor、debug 或缓存中的旧报告。报告记录 component、selected reason、requested versions 和引入路径。

重复类常来自两个不同坐标携带同一源码、旧版 fat AAR 嵌入依赖、迁移期间新旧 SDK 并存或本地 jar 与 Maven 模块重复。依赖树能缩小来源，但最终 class 还可能经过 R8、desugar 和加固变换，因此不能只删除第一条看起来重复的依赖。

修复优先在依赖声明和版本约束上完成：排除错误传递项、统一坐标、升级兼容版本或由供应方修复重复打包。不得使用随意 pickFirst、宽泛 exclude 或删除类文件绕过，因为这些动作可能使运行时找到错误版本，构建通过不代表语义正确。

最终类索引要保留 descriptor、DEX 摘要和物理归属

扫描器从 APK ZIP 中识别 classes.dex、classes2.dex 等实际条目，不能假设编号连续，也不能只读取第一个匹配。每个 DEX 先计算 SHA-256，再用可靠解析器输出完整 class descriptor。反向索引保留 descriptor、dexName、dexDigest 和出现次数，集合去重会掩盖物理重复。

名称规范化必须遵循 DEX descriptor 语义，例如 Lcom/example/Foo; 与数组、内部类和大小写严格区分。工具解析失败、DEX 条目重复、空索引或数量异常时保持 blocked。扫描器不执行类代码，也不把 DEX 解压到不受控目录，输出中避免携带客户私有类的完整业务说明。

若最终 APK 没有重复 descriptor，仍需保存类数量与 DEX 摘要作为基线，用于下一次依赖或加固升级的 drift 比较。新增 DEX、类总数大幅变化或业务包迁移都要求解释，但不能凭静态数量写成安全或性能结论。

重定位、残留旧实现和生成类要分别归因

正确重定位会改变包名与 descriptor，使两个实现能够在明确边界共存；如果原包名副本仍留在另一个 DEX，则说明 shade、缓存或处理阶段可能残留。审计同时搜索原前缀与新前缀，并检查调用方引用，不能只因新名称存在就认定迁移完成。

残留旧实现常来自增量构建目录、重复输入归档或加固流水线合并错误。门禁应对 clean 构建与增量构建分别生成最终类索引，结果必须一致；若清理缓存后差异消失，仍要修复可重复构建问题并保存根因，不能把 clean 作为永久人工步骤。

编译器生成类、资源访问类和保护运行时类也需要唯一 descriptor。其名称可能随编译器变化，但同一候选内不能物理重复。允许例外必须基于解析器误报或明确非类元数据，并有最小匹配、负责人、到期和测试证据，禁止使用整个包前缀白名单。

AAB 和设备派生 APK 集也要扫描，不能只扫 universal

如果发布输入是 AAB，设备最终获得的是按配置派生的 APK 集。bundletool 可以为 device spec 生成和检查 APKS，门禁至少覆盖 base、feature 与实际安装集合中的所有 DEX。只扫描 universal APK 可能包含不同模块组合，不能代表设备定向交付。

每个代表设备配置保存 AAB SHA-256、bundletool 版本、device spec、APKS 摘要、selected APK 与 DEX 索引。跨 split 的同一 class descriptor 也需检查，因为同一安装会话中的重复定义可能造成加载或安装歧义。未交付模块不参与该配置，但要在其他配置覆盖。

本地 bundletool 工件可能使用调试签名，不能冒充生产候选；Play 线上派生还需测试轨道抽样。报告区分 local-derived、store-delivered 和 device-installed。任何层级差异都保持未知或 blocked，不用本地扫描自动填充线上结论。

修复后要做加载、反射和关键业务回归

消除重复可能改变实际被调用的实现版本、方法签名、资源依赖和序列化行为。设备回归至少覆盖应用启动、受影响 SDK 初始化、反射入口、数据库或网络序列化、关键业务动作和异常路径。Android instrumented tests 用于依赖真实运行时与系统 API 的部分。

反射、JNI、ServiceLoader 或字符串类名可能绕过静态调用图。修复依赖后要核对 R8 missing rules、运行日志和准确入口，避免删除曾被错误重复但实际上被间接使用的实现。静态索引通过不能证明间接加载无误，设备回执必须绑定同一候选。

性能和包体变化只能以同一设备、同一候选配置的测量报告陈述。重复类消失通常会改变大小，但不能提前虚构节省比例。若关键流程崩溃、加载失败或行为变化，状态仍为 blocked，不能因为类索引干净就登记发布通过。

用所有 DEX 的公开类清单建立反向索引

下面的 Python 示例读取由 DEX 解析器生成的公开 JSON 清单，每项包含 dexName、dexSha256 和 classes。它验证摘要与 descriptor 格式，拒绝重复 DEX 名称、单个 DEX 内重复和跨 DEX 重复，并输出反向索引摘要。代码不执行类、不修改 APK。

真实流水线应先从冻结候选枚举全部 DEX，再用固定版本解析器生成清单。依赖线索可以作为另一个字段关联，但不能让依赖报告覆盖最终观察。输入派生的格式、摘要或重复差异会非零退出，便于发布门禁保存证据。

脚本通过只说明提供的类清单没有重复，不证明清单来自完整 APK、依赖根因已修复或设备运行兼容。下游必须绑定 APK、每个 DEX、解析器、依赖图与设备回执的摘要，任何候选变化都重新扫描。

import json
import re
import sys
from collections import defaultdict
from pathlib import Path

if len(sys.argv) != 2:
    raise SystemExit("usage: audit_dex_classes.py dex-class-inventory.json")
inventory_path = Path(sys.argv[1]).resolve()
if not inventory_path.is_file():
    raise SystemExit(f"inventory missing: {inventory_path.name}")
with inventory_path.open("r", encoding="utf-8") as stream:
    inventory = json.load(stream)
if not isinstance(inventory, list) or not inventory:
    raise SystemExit("inventory must be a non-empty array")

digest_pattern = re.compile(r"^[0-9a-f]{64}$")
descriptor_pattern = re.compile(r"^L[^;]+;$")
seen_dex = set()
reverse_index = defaultdict(list)
errors = []
for item in inventory:
    if not isinstance(item, dict):
        errors.append("DEX entry is not an object")
        continue
    dex_name = item.get("dexName")
    dex_digest = str(item.get("dexSha256", "")).lower()
    classes = item.get("classes")
    if not dex_name or dex_name in seen_dex:
        errors.append(f"missing or duplicate DEX name: {dex_name!r}")
        continue
    seen_dex.add(dex_name)
    if not digest_pattern.fullmatch(dex_digest):
        errors.append(f"invalid digest for {dex_name}")
    if not isinstance(classes, list) or not classes:
        errors.append(f"empty class list for {dex_name}")
        continue
    local_seen = set()
    for descriptor in classes:
        if not isinstance(descriptor, str) or not descriptor_pattern.fullmatch(descriptor):
            errors.append(f"invalid descriptor in {dex_name}: {descriptor!r}")
            continue
        if descriptor in local_seen:
            errors.append(f"duplicate descriptor inside {dex_name}: {descriptor}")
        local_seen.add(descriptor)
        reverse_index[descriptor].append({"dex": dex_name, "sha256": dex_digest})
duplicates = {key: value for key, value in reverse_index.items() if len(value) > 1}
if duplicates:
    errors.append(f"cross-DEX duplicate count: {len(duplicates)}")
if errors:
    print(json.dumps({"status": "failed", "errors": errors, "duplicates": duplicates}, indent=2))
    raise SystemExit("DEX class inventory contains review-blocking differences")
print(json.dumps({
    "status": "passed",
    "dex_count": len(seen_dex),
    "unique_class_count": len(reverse_index),
    "boundary": "class uniqueness passed; dependency cause and runtime remain separate gates",
}, indent=2))

发布报告要保留来源、修复和设备证据

证据包包含最终 APK 或 AAB 摘要、所有 DEX 摘要、解析器版本、类反向索引、release 变体依赖图、dependencyInsight、artifact 内容摘要、R8 mapping、处理阶段差分、修复变更和设备测试。所有对象绑定同一 release。

NIST SP 800-218 SSDF 强调来源、构建、验证和变更证据。可以报告某候选的实际重复 descriptor 与修复后结果，不能写成所有运行冲突已消失、某 SDK 是唯一根因或攻击被阻断。没有项目数据时不提供客户、性能、排名或收录数字。

权限差异属于另一条发布门禁，可查看[APK 权限差异发布门禁](/zh-cn/articles/apk-permission-diff-release-gate/)，本篇只回答重复类。需要提交候选和依赖图，可从[御盾中央平台申请加固服务](https://www.leonadev.com/console/)。登录、注册、价格、购买和控制台统一由中央平台承接。

• 冻结最终 APK 或 AAB 并记录 SHA-256
• 枚举所有 classes*.dex 且不假设编号连续
• 建立 descriptor 到物理 DEX 与摘要的反向索引
• 依赖分析锁定准确 release 变体与解析原因
• 重定位、残留、生成类和误报分别归因
• AAB 按代表 device spec 扫描实际安装集合
• 修复后重新构建、签名、验签并做设备回归
• 所有例外最小、可过期且有交叉工具证据