Android P+通过反射调用系统API实现高级功能

1. 打开隐藏API
- 1.1 导入FreeReflection包
- 1.2 打开隐藏API
2. 反射系统服务并调用相应方法

通过反射调用系统API已经不算是什么新鲜事了，不过在Android P之后，Google对隐藏API的限制更加严格，不能再直接通过反射去调用系统API了，必须通过特定手段先打开隐藏API的限制，具体原理可以移步另一种绕过 Android P以上非公开API限制的办法，这里我们只讲实战用法。

1. 打开隐藏API

1.1 导入FreeReflection包

新建AS项目后，打开项目的settings.gradle，在repositories闭包中添加

maven { url 'https://jitpack.io' }

然后在具体module的build.gradle中的dependencies中加入以下依赖

implementation 'com.github.tiann:FreeReflection:3.1.0'

1.2 打开隐藏API

在moudle中添加一个继承自Application的类(有关Application的相关信息请自行查阅相关文档)并在AndroidManifest.xml中注册。
例：
新建的类

public class ShellApplication extends Application {......
}

AndroidManifest.xml中注册

<applicationandroid:name=".ShellApplication"......

然后需要重写Application类的attachBaseContext方法，并在这个方法中调用FreeReflection库打开隐藏API

// ignore other import
import me.weishu.reflection.Reflection;
public class ShellApplication extends Application {@Overrideprotected void attachBaseContext(Context base) {super.attachBaseContext(base);Reflection.unseal(base);}
}

至此，隐藏API就打开了，我们就能够像之前一样使用反射了

2. 反射系统服务并调用相应方法

不同Android版本，系统服务的架构可能存在差别，需要根据具体版本进行处理，思路基本相同，这里以Android Q为例，反射ActivityTaskManager，注意ActivityTaskManager是在Android Q中加入的，低版本不适用。
在开始反射之前，我们需要先找到我们想反射的方法是属于哪一个系统服务里面的，思路比较简单，跟流程，这里我需要反射的是startActivityAndWait方法，这个方法是am命令带-W参数启动应用的实现，调用流程是Am->ActivityManagerService->ActivityTaskManagerService。
但是我们知道，系统Service都是通过binder去调用的，这里ActivityTaskManagerSerice是IActivityTaskManager进行调用的，并且由ActivityTaskManager进行代理，在ActivityTaskManager中使用单例模式保存了IActivityTaskManager的实例，并且提供了一个静态方法getService()用于获取该实例(其实Android其他的系统服务都在对应的xxxManager中提供了getService()方法去获取对应的实例)，这就是我们着手的地方(反射不到实例就毫无用处)
代码如下：

        Class atmClazz = Class.forName("android.app.ActivityTaskManager");@SuppressLint("BlockedPrivateApi")Method methodGetService = atmClazz.getDeclaredMethod("getService");methodGetService.setAccessible(true);// atmObj即IActivityTaskManagerObject atmObj = methodGetService.invoke(null);

获取到IActivityTaskManager之后就是反射对应的方法了，例如我需要反射startActivityAndWait方法，那么对应代码如下：

        Class singletonClazz = Class.forName("android.app.IActivityTaskManager");Class clazzIApplicationThread = Class.forName("android.app.IApplicationThread");Class clazzProfileInfo = Class.forName("android.app.ProfilerInfo");Method startMethod = singletonClazz.getDeclaredMethod("startActivityAndWait",clazzIApplicationThread,String.class,Intent.class,String.class,IBinder.class,String.class,int.class,int.class,clazzProfileInfo,Bundle.class,int.class);startMethod.setAccessible(true);startMethod.invoke(atmObj,null, // callercontext.getPackageName(), // call package 这里context传入ApplicationContext即可intent, // intent -> ActivityManagerShellCommand -> MakeIntent// intent 可以通过context.getPackageManager().getLaunchIntentForPackage("com.xxx.xxx")获取null, // resolveTypenull, // resultInfonull, // resultWho0, // request code0, // flagsnull, // profile infonull,0 // userId);