1.Android Activity Deeplink启动来源获取源码分析
2.Android进程间通信之bindService篇
3.AndroidFramework 之启动 ServiceManager
4.一文分析Binder机制和AIDL的源码理解
5.面试 | 再也不怕被问 Binder 机制了
6.Android Binder Hook的实现

Android Activity Deeplink启动来源获取源码分析

       Deeplink在业务模块中作为外部应用的入口提供，不同跳转类型可能会导致应用提供不一致的解析服务，通常通过反射调用Activity中的源码mReferrer字段获取跳转来源的包名。然而，解析mReferrer存在被伪造的源码风险，可能导致业务逻辑出错或经济损失。解析砖厂网页源码因此，源码我们需要深入分析mReferrer的解析来源，并寻找更为安全的源码获取方法。

       为了深入了解mReferrer的解析来源，我们首先使用搜索功能在Activity类中查找mReferrer，源码发现其在Attach方法中进行赋值。解析进一步通过断点调试跟踪调用栈，源码发现Attach方法是解析由ActivityThread.performLaunchActivity调用的。而performLaunchActivity在调用Attach时，源码传入的referrer参数实际上是一个ActivityClientRecord对象的referrer属性。深入分析后，发现referrer是在ActivityClientRecord的构造函数中被赋值的。通过进一步的调试发现，ActivityClientRecord的实例化来自于LaunchActivityItem的mReferrer属性。接着，我们分析了mReferrer的来源，发现它最终是由ActivityStarter的setCallingPackage方法注入的。而这个setCallingPackage方法的调用者是ActivityTaskManagerService的startActivity方法，进一步追踪调用链路，我们发现其源头是在App进程中的ActivityTaskManager.getService()方法调用。

       在分析了远程服务Binder调用的过程后，我们发现获取IActivityTaskManager.Stub的方法是ActivityTaskManager.getService()。这使得我们能够追踪到startActivity方法的调用，进而找到发起Deeplink的应用调用的具体位置。通过这个过程，我们确定了mReferrer实际上是通过Activity的getBasePackageName()方法获取的。

       为了防止包名被伪造，eepr源码分析我们注意到ActivityRecord中还包含PID和Uid。通过使用Uid结合包管理器的方法来获取对应的包名，可以避免包名被伪造。通过验证Uid的来源，我们发现Uid实际上是通过Binder.getCallingUid方法获取的，且Binder进程是无法被应用层干涉的，因此Uid是相对安全的。接下来，我们可以通过Uid来置换包名，进一步提高安全性。

       总结，mReferrer容易被伪造，应谨慎使用。通过使用Uid来获取包名，可以提供一种更为安全的获取方式。此过程涉及对源代码的深入分析和调试，作者Chen Long为vivo互联网客户端团队成员。

Android进程间通信之bindService篇

       在Android的进程间通信中，binder是一种核心机制，广泛应用于四大组件之一的Service。本文专注于使用Service与binder结合的bindservice通信方式，探讨其实现方法与关键特性。

       创建Service作为服务端，其主要功能是向客户端提供接口。创建Service的方式包括扩展binder类、使用Messenger和AIDL。扩展binder类适用于服务端与客户端在同进程场景，不具备跨进程能力，因此这里不详细说明。使用Messenger能实现跨进程通信，特点是请求放入队列，服务端无需线程安全设计，python源码依赖但在实际项目中使用较少。

       AIDL（Android Interface Definition Language）是一种便捷实现跨进程通信的工具。它支持客户端并发访问，要求服务端实现线程安全设计。创建.aidl文件定义接口，服务端和客户端均需包含源码。实现AIDL接口的实例在onBind()接口返回给客户端，使得客户端能调用接口。

       使用AIDL的关键技术点在于通过IPC调用传递对象。支持Java语言原语类型、String、CharSequence、List和Map等数据类型传递。对于自定义对象，必须实现Parcelable接口，以完成序列化。在Android 及以上版本中，可直接定义Parcelable对象。AIDL工具在编译时协助生成序列化代码。

       在方法中使用Bundle参数时，需在解析前显式设置ClassLoader。这样能确保Bundle中对象正确加载。

       本文总结了使用binder和bindservice实现Java端与Java端跨进程通信的方式，并简单概述了AIDL工具的关键技术点。使用bindservice结合AIDL，能在多个场景下有效实现Java应用之间的高效通信。

AndroidFramework 之启动 ServiceManager

        本文源码基于 Android ，涉及相关源码如下。

        ServiceManagaer 是 Binder 的守护进程，在 Binder 机制中起着重要的作用。本文将从源码的角度对其进行分析，整体流程如下：

        时序图如下。

        先来看看 ServiceManager 是如何启动的：

        在 Zygote 一文中说过， init 进程启动的第二阶段会解析 init.rc 文件。

        在这之后会触发 trigger init 。

        结合 init.rc 看看 action init 做了什么。

        当触发 trigger init 后，会启动 servicemanager 服务，其声明如下。

        对应的执行文件为 /system/bin/servicemanager ，在编译前位于 frameworks/native/cmds/servicemanager 下，来看看 Android.bp 。

        其对应的源码为 service_manager.c 和 binder.c ，入口函数 main() 位于 servicemanager.c 。

        启动完 ServiceManager 后会打开 Binder 驱动。

        在 main() 中首先调用 binder_open() 。

        binder_open() 主要做了如下事情：

        给结构体 binder_state 分配内存。

        系统调用 open() 打开 /dev/binder ，如果打开驱动失败，则执行 fail_open 释放内存。

        简单的解释一下什么是系统调用？

        由于需要限制不同的程序之间的访问能力，防止程序获取别的程序的内存数据， CPU 划分出两个权限等级，用户态和 内核态。

        所有的用户程序都是运行在用户态，但有时需要做一些内核态的事情，而唯一可以做这些事情的就是操作系统，所以程序需要向操作系统发起请求，以程序的名字来执行这些操作。这时就需要一个从用户态切换到内核态但不能控制内核态中执行的机制，这种机制就是 系统调用。

        系统调用 ioctl() 传入 BINDER_VERSION 命令获取 Binder 驱动版本，对比版本是否一致，不一致则执行 fail_open 释放内存。

        系统调用 mmap() 映射 kb 的内存空间，即把 Binder 驱动文件的 kb 映射到内存空间供 ServiceManager 使用，内存映射失败则执行 fail_map ，关闭 fd 并释放内存。

        ServiceManager 进程 mmap 的内存大小可以通过 adb shell 命令查看。

        可以看到内存映射地址为 0xff ~ 0xf ，差为 0x 即十进制的 kb 。

        打开 Binder 驱动后会将 ServiceManager 设置为上下文管理者。

        调用 binder_become_context_manager() 。

        android 新增 BINDER_SET_CONTEXT_MGR_EXT 命令来设置安全的上下文管理者，如果设置失败，则使用原有的 BINDER_SET_CONTEXT_MGR 命令来设置上下文管理者，两者区别在于是否携带参数。

        最后会进入循环，从 Binder 驱动读取和解析数据。

        调用 binder_loop() 进入循环，不断地通过系统调用 ioctl() 从 Binder 驱动读取数据，并通过 binder_parse() 进行数据解析。

        注意这里调用 binder_loop() 传入的 svcmgr_handler() ，后面会使用到。

        binder_write() 会封装 struct binder_write_read ，并通过系统调用 ioctl() 将对应的命令传递给 Binder 驱动。

        binder_parse() 用来解析从 Binder 驱动读取到的数据，然后根据不同的命令执行对应的操作。

        因为 cmd 命令可能有多个，所以通过 while 循环每次处理一个 cmd 命令，多 cmd 的结构大致如下图所示。

        这里重点看下 BR_TRANSACTION 命令。

        BR_TRANSACTION 是 Binder 驱动向 Server 端发送请求数据。

        binder_transaction_data 的结构如下，其表明了 transcation 传输的具体语义，语义码记录在 code 中，不同语义码携带的数据是不同的，这些数据由 data 指定。

        在解析完 binder_transaction_data 的具体语义后，会调用前面传给 binder_loop() 的 svcmgr_handler() ，其实就是 switch case 语义码做不同的事情。

        ServiceManager 的功能其实很简单：

        至此 ServiceManager 就分析完了。

一文分析Binder机制和AIDL的理解

       深入了解Android进程间通信机制，如同破解系统奥秘的钥匙，它在源码探索和问题解决中扮演着核心角色。Binder机制，源自OpenBinder，正是kdj神技源码这个领域的主角，它弥补了Linux原生通信方式在性能和安全性的短板。它的运作涉及驱动层与应用层的无缝对接，包括与系统服务如Activity Manager Service (AMS) 的深度协作。

       Binder，作为Java编写的通信工具包，是Android多进程通信的基石。尽管AIDL（Android Interface Definition Language）常用于简化这一过程，但并非不可或缺。让我们通过一个实例，不依赖AIDL，来揭示Binder通信的内在机制。想象一个简单的场景：一个客户端（ClientBinder）与服务端（ServerBinder，继承自Binder并实现onTransact方法）之间的字符串传递，透彻理解Binder通信的运作原理。

       项目框架中，服务端在Service的onBind方法中返回一个ServerBinder实例。对比手动实现与AIDL生成的代码，AIDL的便捷性便一目了然。客户端通过ServiceConnection，如下面这段代码，与远程服务建立连接：

       1. 创建ServiceConnection，获取远程服务的IBinder

       2. intent设置服务类名："com.binder.server.RemoteService"

       3. bindService(intent, serviceConnection, Context.BIND_AUTO_CREATE)

       4. 若未连接，尝试bindService

       5. 传递数据：通过IBinder调用mStingEditText的文本，如data.writeString(text)

       6. 成功连接后，调用transact方法传递请求

       接收数据的环节，服务端将数据展示在tvShowMessage上，通过新线程处理，如`new Handler().post(() -> ServerMainActivity.tvShowMessage.setText(message));`。当连接断开时，serviceConnection的onServiceDisconnected方法会被触发。

       关键在于客户端如何通过IBinder获取服务端对象并调用transact进行跨进程通信。AIDL的javaee编程源码引入让这个过程更加优雅，例如在ClientMainActivityUseAidl中，服务连接成功后，通过IBinder代理mServer，调用自定义接口IShowMessageAidlInterface的showMessage方法。

       在交互过程中，客户端通过IShowMessageAidlInterface的Stub内部类，将本地的IBinder转换为接口，这样数据的发送就通过showMessage方法进行。AIDL的asInterface方法负责封装本地或远程处理，Proxy类则负责数据的打包和跨进程传输，确保数据的无缝传递。

       总结来说，客户端利用AIDL的asInterface处理远程IBinder，而Proxy类则是这一切的幕后功臣。服务端的onBind方法返回AIDL生成的Stub，它在客户端调用transact时负责接收和处理请求，执行showMessage方法。这样，AIDL生成的Stub和Proxy成为客户端发送数据的桥梁，而在服务端，它们则是数据处理的核心所在。

       掌握Binder机制和AIDL的精髓，你将解锁Android进程间通信的无尽可能，为你的应用开发增添无限力量。无论何时，当你深入探索Android源码，这些核心原理都将是你不可或缺的指南。

面试 | 再也不怕被问 Binder 机制了

       Binder机制是Android特有的进程间通信（IPC）方式，它基于C/S架构，由运行在用户空间的Client、Server、Service Manager组件，以及运行在内核空间的Binder驱动组成。完整过程包括：通过内存映射技术减少数据拷贝次数，发送方进程也做内存映射可以实现数据0拷贝传输，但考虑到性能和复杂性，Binder方式更适合Android。

       mmap内存映射原理是在进程的用户空间和内核空间之间建立映射关系，实现文件磁盘地址与进程虚拟地址空间中的虚拟地址一一对映，使得进程可以采用指针方式读写操作内存，系统自动回写脏页面到磁盘，完成文件操作而无需再调用read、write等系统调用函数。同时，内核空间对这段区域的修改直接反映用户空间，实现不同进程间的文件共享。

       在进程间通信（IPC）场景下使用mmap时，通常只需要在进程的用户空间和内核空间之间建立映射关系，不一定需要映射到外部存储介质，除非希望将共享内存内容持久化到磁盘上。

       当使用匿名内存映射进行进程间通信时，创建一段内核空间内存并在进程的用户空间与之建立映射关系，允许多个进程共享同一段内核空间内存，实现数据共享和同步。匿名内存映射不与任何文件关联，仅在进程间实现高效数据传输。

       在使用mmap进行进程间通信时，创建匿名内存映射，不映射到外部存储介质，仅在用户空间与内核空间之间建立映射关系。这允许多个进程共享内核空间内存，提高数据访问效率和性能。

       在实际应用中，使用带有回调接口（Callback）的方法参数调用服务端进程提供的方法时，方法调用线程和回调线程是否相同取决于服务端实现。通常服务端采用异步处理方式，将请求放入队列或线程池中处理，调用回调接口，线程可能不相同。

       对于oneway接口调用，即使服务端立即在当前线程中处理请求并调用回调接口，客户端的调用也不会阻塞。oneway调用是单向异步的，客户端调用后立即返回，不会等待服务端响应。

       Intent传递参数在同一个进程中的两个Activity间，由于涉及Binder IPC通信，Intent数据携带大小会受到Binder事务大小限制。通常限制在1MB左右，超过限制会抛出异常。解决方法包括优化数据结构、使用事件总线或回调接口传递大对象。

       为了深入理解Android框架，可参考《Android Framework核心知识点》手册，内容涵盖Init、Zygote、SystemServer、Binder、Handler、AMS、PMS、Launcher等知识点，以及相关源码分析资料，帮助快速掌握Android框架核心。

Android Binder Hook的实现

        Binder Hook 可以 Hook 掉当前进程用到的系统 Service 服务。

        以 LocationManager 为例，在获取一个 LocationManager 时分为两步：

        (1) 获取 IBinder 对象；

        (2) 通过 IBinder 的 asInterface() 方法转化为 LocationMangerService 对象，接着初始化 LocationManager 。

        application 层用到的都是 LocationManager 对象。

        原理：

        整个过程需要利用反射设置一个自定义的 Binder 对象和一个自定义的 Service 对象。由于我们只 Hook 其中一部分的功能，其他功能还需要保留，所以要用动态代理的方式创建自定义对象。

        在理解后面的内容前你需要了解这些知识点：

        Activity 等类在获取系统 Service 时，都是调用 getSystemService(serviceName) 方法获取的。

        Context # getSystemService() 方法最终会调用到 ServiceManager # getService() 方法中。以 LocationManager 对应的 ServiceFetcher 为例，它的 createService() 方法源码如下：

        假如我们要 Hook 掉 LocationManager # getLastKnownLocation() 方法（下文都是）。我们要做的就是让

        ServiceManager.getService(Context.LOCATION_SERVICE) 返回我们自定义的 Binder 对象。

        先看一下这个方法的源码：

        sCache 是一个 Map，缓存了已经向系统请求过的 Binder。如果需要让这个方法返回我们自己的 binder 对象，只需要事先往 sCache 中 put 一个自定义的 Binder 对象就行了。

        在 put 之前，需要先创建出一个自定义的 Binder。这个 Binder 在被 ILocationManager.Stub.asInterface 处理后，可以返回一个自定义的 LocationManagerService 对象。

        先看一下 Binder 的 asInterface() 的实现：

        如果把 queryLocalInterface()方法返回一个自定义的Service，使得走 if 语句内部，不走 else，那就算是Hook 成功了。

        假设我们想让系统的 LocationManager 返回的位置信息全是在天安门(., .)。那我们需要使得 LocatitionManagerService 的 getLastLocation() 方法 返回的全是 (., .)。

        由于我们不能直接拿到系统的这个Service对象，可以先用反射的方式拿到系统的LocationManagerService。然后拦截 getLastLocation() 方法。

        原生的Binder对象在调用 queryLocalInterface() 方法时会返回原生的Service对象。我们希望返回3.1中的自定义Service。所以这里拦截 queryLocalInterface() 方法。

        有了自定义的 Binder 后，将它注入到 ServiceManger 的 sCache 变量中就完成 Hook 了~

        当onClick被调用的时候，Toast和Log都会显示天安门的坐标(., .)。证明Hook成功！

        你甚至可以用Binder Hook的方式Hook掉 ActivityManager。

深度分析Binder线程池的启动流程

       理论基础Binder

       Binder它是Android中的一种进程间通信机制，它主要采用的是CS架构模式。Binder框架中主要涉及到4个角色Client、Server、ServiceManager及Binder驱动，其中Client、Server、ServiceManager运行在用户空间，Binder驱动运行在内核空间。

线程池

       线程池它是一种用于多线程处理形式，处理过程中将任务添加到队列，然后在创建线程后自动启动这些任务。线程池线程都是后台线程。每个线程都使用默认的堆栈大小，以默认的优先级运行，并处于多线程单元中。

       简单的说：线程池就是创建一些线程，它们的集合称为线程池。

Binder线程池启动流程

       我们知道一个新的app应用程序进程在创建完成之后，它会通过调用RunTimeInit类的静态成员函数zygoteInitNative来进行启动Binder线程池。

       Binder线程池启动过程中，主要调用几个关键函数：ZygoteInitNative--->onZygoteInit--->startThreadPool。

       下面的源码分析主要是以android5.0版本为例。

ZygoteInitNative源码分析

       由于ZygoteInitNative函数是java实现的代码，实践上最终调用的是由C++实现的JNI方法。以下代码来源于系统的/frameworks/base/core/jni/androidRuntime.cpp文件中

staticvoidcom_android_internal_os_RuntimeInit_nativeZygoteInit(JNIEnv*env,jobjectclazz){ //gCurRuntime是个全局的变量，后面跟上的是另外实现的方法。gCurRuntime->onZygoteInit();}onZygoteInit源码分析

       onZygoteInit函数在需要源码的位置：/frameworks/base/cmds/app_process/app_main.cpp文件中。

该函数是个虚函数，并且是一个无返回值和无参数的函数virtualvoidonZygoteInit(){ //Re-enabletracingnowthatwe'renolongerinZygote.atrace_set_tracing_enabled(true);//获取进程的状态信息sp<ProcessState>proc=ProcessState::self();//打印日志信息ALOGV("Appprocess:startingthreadpool.\n");//启动线程池proc->startThreadPool();}startThreadPool源码分析

       startThreadPool系统实现在\frameworks\native\libs\binder\ProcessState.cpp文件中。

       每一个支持Binder进程间通信机制的进程内都有一个唯一的ProcessState对象，当这个ProcessState对象的成员函数StartThreadPool函数被第一次调用的时候，它就会在当前进程中启动一个线程池，并将mThreadPoolStarted这个成员变量设置为true。

//该函数是个无参数，无返回值的函数voidProcessState::startThreadPool(){ AutoMutex_l(mLock);//判断线程池是否启动状态，启动的话就将标志信息设置为true属性。if(!mThreadPoolStarted){ mThreadPoolStarted=true;spawnPooledThread(true);}}总结

       Binder在android底层中是一个非常重要的机制，我们在实际的项目调用过程中，我们在app应用程序中只要实现自己的Binder本地对象的时候，跟其他服务一样，只需要将它进行启动起来，并且进行注册到ServerMananger就可以了。至于内部的实现一般是不需要去关心的。

Framework层的Binder（源码分析篇）

       本文以android-.0.0_r的AOSP分支为基础，解析framework层的Binder工作原理。

       从ServiceManager的getService方法入手，其核心代码是通过getIServiceManager().getService(name)获取服务。首先，ServiceManager的实现与进程中的ProcessState密切相关，ProcessState是单例，负责打开和映射Binder驱动。构造函数中，它会初始化驱动、验证版本并设置线程数，接着进行binder映射。

       在ProcessState的getContextObject方法中，调用native函数android_util_Binder.cpp中的getContextObject()。这个函数通过handle 0（ServiceManager的handle）获取BpBinder对象，然后通过javaObjectForIBinder函数将其转换为Java中的类型。

       进一步分析，BpBinder与java层的Binder之间存在对应关系，通过BinderProxy NativeData创建单例的BinderProxy。然后，每个服务的BinderProxy实例化和计数处理都在这个过程中完成。ServiceManagerNative.asInterface方法简化了getIServiceManager的调用，通过调用asInterface实例化ServiceManagerProxy。

       IServiceManager接口通过AIDL生成，其代理类ServiceManagerProxy实际上是不必要的。aidl文件在编译时生成对应java代码，用于binder通信。通过aidl文件，我们可以看到如queryLocalInterface等方法的实现细节。

       在Parcel的协助下，客户端与服务端进行数据传递，通过序列化和反序列化进行交互。在transact函数中，对Parcel大小进行检查，避免数据传输过大导致的问题。最后，客户端与binder驱动的通信过程涉及了Transaction数据的写入、等待响应、数据处理和内存回收等步骤。

       总的来说，framework层的Binder工作涉及服务管理、数据转换、通信协议和内存管理等环节，理解这些有助于深入掌握Binder的工作机制。