和先前版本一樣,Android 16 也包含可能會影響應用程式的行為變更。以下行為變更僅適用於指定 Android 16 以上版本的應用程式。如果您的應用程式指定 Android 16 以上版本,建議您視情況修改應用程式,以支援這些行為。
此外,無論應用程式的 targetSdkVersion 為何,請務必查看對所有 Android 16 應用程式有影響的行為變更清單。
使用者體驗和系統 UI
Android 16 (API 級別 36) 包含下列變更,旨在打造更一致、直覺的使用者體驗。
無邊框設計停用選項即將移除
Android 15 强制执行全屏显示,但您的应用可以通过将 R.attr#windowOptOutEdgeToEdgeEnforcement 设置为 true 来选择停用此功能。对于以 Android 16(API 级别 36)为目标平台的应用,R.attr#windowOptOutEdgeToEdgeEnforcement 已被废弃并停用,并且您的应用无法选择不采用从边缘到边缘的布局。
- 如果您的应用以 Android 16(API 级别 36)为目标平台,并且在 Android 15 设备上运行,则
R.attr#windowOptOutEdgeToEdgeEnforcement会继续正常运行。 - 如果您的应用以 Android 16(API 级别 36)为目标平台,并且在 Android 16 设备上运行,则
R.attr#windowOptOutEdgeToEdgeEnforcement会被停用。
如需在 Android 16 中进行测试,请确保您的应用支持无边框设计,并移除所有 R.attr#windowOptOutEdgeToEdgeEnforcement 用法,以便您的应用在 Android 15 设备上也能支持无边框设计。如需支持从边缘到边缘的显示,请参阅 Compose 和 Views 指南。
如要使用預測返回手勢,必須遷移或選擇停用
对于以 Android 16(API 级别 36)或更高版本为目标平台且在搭载 Android 16 或更高版本的设备上运行的应用,预测性返回系统动画(返回主屏幕、跨任务和跨 activity)默认处于启用状态。此外,系统不再调用 onBackPressed,也不再调度 KeyEvent.KEYCODE_BACK。
如果您的应用会拦截返回事件,但您尚未迁移到预测性返回,请更新应用以使用受支持的返回导航 API,或者通过在应用的 AndroidManifest.xml 文件的 <application> 或 <activity> 标记中将 android:enableOnBackInvokedCallback 属性设置为 false 来暂时选择停用。
已淘汰並停用 Elegant 字型 API
指定 Android 15 (API 級別 35) 的應用程式會預設將 elegantTextHeight
TextView 屬性設為 true,以更易於閱讀的字型取代精簡字型。您可以將 elegantTextHeight 屬性設為 false,藉此覆寫這項設定。
Android 16 會淘汰 elegantTextHeight 屬性,應用程式指定 Android 16 後,系統就會忽略該屬性。這些 API 控制的「UI 字型」即將停用,因此請調整所有版面配置,確保阿拉伯文、寮文、緬甸文、泰米爾文、古吉拉特文、卡納達文、馬拉雅拉姆文、奧里亞文、泰盧固文或泰文的文字顯示方式一致,且日後不會出錯。
針對指定 Android 14 (API 級別 34) 以下版本的應用程式,或指定 Android 15 (API 級別 35) 但將 elegantTextHeight 屬性設為 false,藉此覆寫預設行為的應用程式,elegantTextHeight 行為如下:
如果應用程式指定 Android 16 (API 級別 36),或指定 Android 15 (API 級別 35) 但未將 elegantTextHeight 屬性設為 false 來覆寫預設值,則會採用 elegantTextHeight 行為。核心功能
Android 16 (API 級別 36) 包含下列變更,可修改或擴充 Android 系統的各種核心功能。
固定費率工作排程最佳化
在指定 Android 16 之前,如果 scheduleAtFixedRate 因不在有效的程序生命週期中而錯過執行工作,則應用程式返回有效生命週期時,所有錯過的執行作業會立即執行。
針對 Android 16 進行指定時,應用程式返回有效生命週期時,最多會立即執行 一次遺漏的 scheduleAtFixedRate 執行作業。這項行為異動預計可改善應用程式效能。在應用程式中測試這項行為,確認應用程式是否受到影響。您也可以使用應用程式相容性架構,並啟用 STPE_SKIP_MULTIPLE_MISSED_PERIODIC_TASKS 相容性標記來進行測試。
裝置板型規格
在大型螢幕裝置上顯示時,Android 16 (API 級別 36) 會對應用程式進行下列變更。
自動調整式版面配置
Android 應用程式現在可在各種裝置上執行 (例如手機、平板電腦、折疊式裝置、桌機、車輛和電視),且大螢幕上的視窗模式也很多元 (例如分割畫面和桌機視窗),因此開發人員應建構可適應任何螢幕和視窗大小的 Android 應用程式,無論裝置方向為何。在現今多裝置的世界中,限制螢幕方向和大小調整等範例過於嚴苛。
忽略螢幕方向、是否可調整大小和顯示比例限制
如果應用程式指定 Android 16 (API 級別 36) 為目標,Android 16 會變更系統管理螢幕方向、大小調整功能和長寬比限制的方式。如果螢幕的最小寬度 >= 600dp,就不再適用這些限制。應用程式也會填滿整個顯示視窗,無論長寬比或使用者偏好的螢幕方向為何,都不會出現側邊黑邊。
這項異動會導入新的標準平台行為。Android 正在朝向某種模式發展,預期應用程式會根據各種螢幕方向、顯示大小和顯示比例自動調整。固定螢幕方向或限制尺寸調整等限制會阻礙應用程式的適應性,因此建議讓應用程式具備適應性,提供最佳使用者體驗。
您也可以使用應用程式相容性架構,並啟用 UNIVERSAL_RESIZABLE_BY_DEFAULT 相容性標記,測試這項行為。
常見的破壞性變更
忽略方向、大小調整和長寬比限制,可能會影響應用程式在某些裝置上的 UI,尤其是專為鎖定直向的小型版面配置設計的元素,例如版面配置遭到延展,以及動畫和元件超出螢幕範圍等問題。如果對顯示比例或螢幕方向做出任何假設,可能會導致應用程式出現視覺問題。請參閱這篇文章,進一步瞭解如何避免這類問題,並改善應用程式的適應性行為。
允許裝置旋轉會導致更多活動重建,如果未妥善保留,可能會導致使用者狀態遺失。如要瞭解如何正確儲存 UI 狀態,請參閱「儲存 UI 狀態」。
導入作業詳細資料
在全螢幕和多視窗模式下,大型螢幕裝置會忽略下列資訊清單屬性和執行階段 API:
screenOrientationresizableActivityminAspectRatiomaxAspectRatiosetRequestedOrientation()getRequestedOrientation()
系統會忽略 screenOrientation、setRequestedOrientation() 和 getRequestedOrientation() 的下列值:
portraitreversePortraitsensorPortraituserPortraitlandscapereverseLandscapesensorLandscapeuserLandscape
就螢幕大小調整功能而言,android:resizeableActivity="false"、android:minAspectRatio 和 android:maxAspectRatio 不會產生任何影響。
如果應用程式以 Android 16 (API 級別 36) 為目標,系統預設會忽略大螢幕上的應用程式方向、大小調整和長寬比限制,但如果應用程式尚未完全準備就緒,可以暫時選擇停用這項行為 (這會導致應用程式進入相容性模式)。
例外狀況
在下列情況中,Android 16 的螢幕方向、大小調整和長寬比限制不適用:
- 遊戲 (根據
android:appCategory旗標) - 使用者在裝置的顯示比例設定中,明確選擇採用應用程式的預設行為
- 小於
sw600dp的螢幕
暫時退出
如要停用特定活動,請宣告 PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY 資訊清單屬性:
<activity ...>
<property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
...
</activity>
如果應用程式有太多部分尚未支援 Android 16,您可以在應用程式層級套用相同屬性,完全停用這項功能:
<application ...>
<property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
</application>
健康與健身
Android 16 (API 級別 36) 包含下列與健康和健身資料相關的變更。
健康與健身權限
对于以 Android 16(API 级别 36)或更高版本为目标平台的应用,BODY_SENSORS 权限使用 android.permissions.health 下更精细的权限,健康数据共享也使用这些权限。自 Android 16 起,凡是以前需要具有 BODY_SENSORS 或 BODY_SENSORS_BACKGROUND 权限的 API,现在都需要获取相应的 android.permissions.health 权限。这会影响以下数据类型、API 和前台服务类型:
- 从 Wear OS 上的健康服务中获取
HEART_RATE_BPM - 来自 Android Sensor Manager 的
Sensor.TYPE_HEART_RATE - 在 Wear OS 上,
ProtoLayout中的heartRateAccuracy和heartRateBpm FOREGROUND_SERVICE_TYPE_HEALTH,其中需要使用相应的android.permission.health权限来代替BODY_SENSORS
如果您的应用使用这些 API,则应请求相应的精细权限:
- 对于使用期间的心率、血氧饱和度或体表温度监测:请求
android.permissions.health下的精细权限,例如READ_HEART_RATE,而不是BODY_SENSORS。 - 对于后台传感器访问权限:请求
READ_HEALTH_DATA_IN_BACKGROUND而不是BODY_SENSORS_BACKGROUND。
这些权限与用于保护对 Health Connect(Android 健康、健身和身心状态数据存储区)中读取数据的访问权限相同。
移动应用
迁移到使用 READ_HEART_RATE 和其他精细权限的移动应用还必须声明 activity 以显示应用的隐私权政策。此要求与健康数据共享的要求相同。
連線能力
Android 16 (API 級別 36) 包含藍牙堆疊的下列變更,可提升與周邊裝置的連線能力。
處理債券遺失和加密變更的新意圖
除了改善連結遺失處理功能,Android 16 也推出了 2 個新的意圖,讓應用程式更能察覺連結遺失和加密變更。
鎖定 Android 16 的應用程式現在可以:
- 在偵測到遠端連結中斷時接收
ACTION_KEY_MISSING意圖,以便提供更有用的使用者意見回饋,並採取適當行動。 - 每當連結的加密狀態變更時,就會收到
ACTION_ENCRYPTION_CHANGE意圖。包括加密狀態變更、加密演算法變更和加密金鑰大小變更。如果應用程式稍後收到ACTION_ENCRYPTION_CHANGE意圖,且連結已成功加密,則必須考慮恢復連結。
因應不同原始設備製造商 (OEM) 實作
雖然 Android 16 推出了這些新意圖,但不同裝置製造商 (OEM) 的實作和廣播方式可能有所不同。為確保應用程式可在所有裝置上提供一致且可靠的體驗,開發人員應設計連結中斷處理機制,以便妥善因應這些潛在的變化。
我們建議您採用下列應用程式行為:
如果廣播
ACTION_KEY_MISSING意圖:系統會中斷 ACL (非同步無連結) 連結,但會保留裝置的連結資訊 (如這裡所述)。
應用程式應使用這個意圖做為偵測連結中斷的主要信號,並在啟動裝置忘記或重新配對功能前,引導使用者確認遠端裝置是否在範圍內。
如果裝置在收到
ACTION_KEY_MISSING後中斷連線,應用程式應謹慎重新連線,因為裝置可能已不再與系統綁定。如果
ACTION_KEY_MISSING意圖未廣播:ACL 連結會保持連線狀態,系統會移除裝置的連結資訊,這與 Android 15 的行為相同。
在這種情況下,應用程式應繼續使用與先前 Android 版本相同的現有連結失效處理機制,以偵測及管理連結失效事件。
移除藍牙配對的新方式
所有以 Android 16 為目標版本的應用程式,現在都能使用 CompanionDeviceManager 中的公開 API 解除配對藍牙裝置。如果隨附裝置是以 CDM 關聯方式管理,應用程式可以在關聯裝置上使用新的 removeBond(int) API 觸發藍牙連結移除作業。應用程式可以監控連結狀態變更,方法是監聽藍牙裝置廣播事件 ACTION_BOND_STATE_CHANGED。
安全性
Android 16 (API 級別 36) 包含下列安全性異動。
MediaStore 版本鎖定
針對指定 Android 16 以上版本的應用程式,MediaStore#getVersion() 現已成為每個應用程式的專屬值。這麼做可移除版本字串中的識別屬性,以免遭到濫用,並防止用於指紋辨識技術。應用程式不應對此版本的格式做出任何假設。應用程式在使用此 API 時應已處理版本變更,且在大多數情況下,不必變更目前的行為,除非開發人員嘗試推斷超出此 API 預期範圍的其他資訊。
更安全的意圖
“更安全的 intent”功能是一项多阶段安全计划,旨在提高 Android 的 intent 解析机制的安全性。目标是在 intent 处理期间添加检查,并过滤不符合特定条件的 intent,从而保护应用免受恶意操作的侵害。
在 Android 15 中,该功能侧重于发送应用,现在在 Android 16 中,控制权转移到了接收应用,允许开发者使用其应用清单选择加入严格的 intent 解析。
我们正在实施两项关键变更:
显式 intent 必须与目标组件的 intent 过滤器相匹配:如果 intent 显式定位到某个组件,则应与该组件的 intent 过滤器相匹配。
没有操作的 intent 无法匹配任何 intent 过滤器:未指定操作的 intent 不应解析为任何 intent 过滤器。
这些变更仅在涉及多个应用时适用,不会影响单个应用内的 intent 处理。
影响
选择启用性质意味着,开发者必须在应用清单中明确启用它,才能使其生效。 因此,此功能的影响将仅限于以下应用:
- 了解“更安全的 intent”功能及其优势。
- 主动选择在应用中采用更严格的 intent 处理实践。
这种选择性采用的方法可最大限度地降低破坏可能依赖于当前不太安全的 intent 解析行为的现有应用的风险。
虽然在 Android 16 中,初始影响可能有限,但“更安全的 intent”计划的路线图显示,未来 Android 版本的影响范围会更广。我们计划最终将严格的意图解析设为默认行为。
“更安全的 intent”功能可让恶意应用更难利用 intent 解析机制中的漏洞,从而有望显著提升 Android 生态系统的安全性。
不过,向选择退出和强制执行的过渡必须谨慎管理,以解决现有应用的潜在兼容性问题。
实现
开发者需要在应用清单中使用 intentMatchingFlags 属性明确启用更严格的 intent 匹配。
以下示例展示了如何为整个应用选择启用该功能,但在接收器上停用/选择停用该功能:
<application android:intentMatchingFlags="enforceIntentFilter">
<receiver android:name=".MyBroadcastReceiver" android:exported="true" android:intentMatchingFlags="none">
<intent-filter>
<action android:name="com.example.MY_CUSTOM_ACTION" />
</intent-filter>
<intent-filter>
<action android:name="com.example.MY_ANOTHER_CUSTOM_ACTION" />
</intent-filter>
</receiver>
</application>
有关支持的标志的更多信息:
| 标志名称 | 说明 |
|---|---|
| enforceIntentFilter | 对传入的 intent 强制执行更严格的匹配 |
| none | 停用针对传入 intent 的所有特殊匹配规则。指定多个标志时,系统会优先考虑“无”标志,以解决值冲突问题 |
| allowNullAction | 放宽了匹配规则,允许匹配没有操作的 intent。此标志与“enforceIntentFilter”结合使用可实现特定行为 |
测试和调试
在强制执行处于有效状态时,如果 intent 调用方已正确填充 intent,应用应能正常运行。
不过,被屏蔽的 intent 会触发警告日志消息(例如 "Intent does not match component's intent filter:" 和 "Access blocked:"),并带有标记 "PackageManager."。这表示存在可能会影响应用的潜在问题,需要引起注意。
Logcat 过滤条件:
tag=:PackageManager & (message:"Intent does not match component's intent filter:" | message: "Access blocked:")
GPU 系統呼叫篩選
為強化 Mali GPU 介面,我們已在正式版中封鎖已淘汰或僅供 GPU 開發使用的 Mali GPU IOCTL。此外,用於 GPU 分析的 IOCTL 已限制為僅供殼層程序或可偵錯的應用程式使用。如要進一步瞭解平台層級政策,請參閱 SAC 更新。
這項異動會影響使用 Mali GPU 的 Pixel 裝置 (Pixel 6 到 Pixel 9)。Arm 已在 Documentation/ioctl-categories.rst 的 r54p2 版本中,提供 IOCTL 的官方分類。我們會在日後發布的驅動程式版本中,持續維護這份清單。
這項異動不會影響支援的繪圖 API (包括 Vulkan 和 OpenGL),預計也不會影響開發人員或現有應用程式。Streamline Performance Analyzer 和 Android GPU 檢查器等 GPU 剖析工具不會受到影響。
測試
如果看到類似以下的 SELinux 拒絕訊息,表示您的應用程式可能受到這項異動影響:
06-30 10:47:18.617 20360 20360 W roidJUnitRunner: type=1400 audit(0.0:85): avc: denied { ioctl }
for path="/dev/mali0" dev="tmpfs" ino=1188 ioctlcmd=0x8023
scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:gpu_device:s0 tclass=chr_file
permissive=0 app=com.google.android.selinux.pts
如果應用程式需要使用遭封鎖的 IOCTL,請回報錯誤並指派給 android-partner-security@google.com。
常見問題
這項政策異動是否適用於所有原始設備製造商? 這項變更將採選擇加入制,但任何想使用這項強化方法的 OEM 都能選擇加入。如需實作變更的操作說明,請參閱實作說明文件。
是否必須變更 OEM 程式碼集才能實作這項功能,還是預設會隨附於新的 AOSP 版本? 根據預設,平台層級的變更會隨附於新的 Android 開放原始碼計畫版本。如要套用這項變更,供應商可以在程式碼集選擇啟用。
SoC 是否負責更新 IOCTL 清單?舉例來說,如果我的裝置使用 ARM Mali GPU,是否需要就任何變更與 ARM 聯絡? 個別 SoC 必須在驅動程式發布後,依據裝置更新 IOCTL 清單。 舉例來說,ARM 會在驅動程式更新時,更新已發布的 IOCTL 清單。 不過,原始設備製造商應確保將更新納入 SEPolicy,並視需要將所選自訂 IOCTL 新增至清單。
這項變更會自動套用至所有市售 Pixel 裝置嗎?還是使用者必須切換某些設定才能套用? 這項異動適用於所有使用 Mali GPU 的 Pixel 上市裝置 (Pixel 6 至 Pixel 9)。這項異動會自動生效,您不必採取任何行動。
使用這項政策會影響核心驅動程式的效能嗎? 這項政策已在 Mali GPU 上使用 GFXBench 進行測試,結果顯示 GPU 效能沒有明顯變化。
IOCTL 清單是否必須與目前的使用者空間和核心驅動程式版本一致? 是,允許的 IOCTL 清單必須與使用者空間和核心驅動程式支援的 IOCTL 同步。如果使用者空間或核心驅動程式中的 IOCTL 已更新,SEPolicy IOCTL 清單也必須更新,才能與之相符。
ARM 已將 IOCTL 分類為「受限」/「儀器」,但我們想在正式環境的使用案例中採用部分 IOCTL,並/或拒絕其他 IOCTL。 各個 OEM/SoC 負責根據使用者空間 Mali 程式庫的設定,決定如何分類所用的 IOCTL。ARM 的清單可協助您做出這些決定,但每個 OEM/SoC 的使用案例可能有所不同。
隱私權
Android 16 (API 級別 36) 包含下列隱私權異動。
區域網路權限
具有 INTERNET 权限的任何应用都可以访问局域网上的设备。
这使得应用可以轻松连接到本地设备,但也存在隐私影响,例如形成用户指纹,以及成为位置信息的代理。
本地网络保护项目旨在通过在新的运行时权限后限制对本地网络的访问,来保护用户的隐私。
发布计划
此变更将分别在 25Q2 和 26Q2 这两个版本之间部署。 开发者必须遵循 25Q2 的相关指南并分享反馈,因为这些保护措施将在后续 Android 版本中强制执行。此外,他们还需要按照以下指南更新依赖于隐式本地网络访问权限的场景,并为用户拒绝和撤消新权限做好准备。
影响
在当前阶段,LNP 是一项选择启用功能,这意味着只有选择启用的应用会受到影响。选择启用阶段的目标是让应用开发者了解应用的哪些部分依赖于隐式本地网络访问权限,以便他们可以为下一个版本做好权限保护准备。
如果应用使用以下方式访问用户的本地网络,则会受到影响:
- 在本地网络地址(例如 mDNS 或 SSDP 服务发现协议)上直接或通过库使用原始套接字
- 使用可访问本地网络的框架级类(例如 NsdManager)
向本地网络地址发送流量和从本地网络地址接收流量需要本地网络访问权限。下表列出了一些常见情况:
| 应用低级层网络操作 | 需要本地网络权限 |
|---|---|
| 建立出站 TCP 连接 | 是 |
| 接受传入的 TCP 连接 | 是 |
| 发送 UDP 单播、多播、广播 | 是 |
| 接收传入的 UDP 单播、多播、广播 | 是 |
这些限制是在网络堆栈深处实现的,因此适用于所有网络 API。这包括在原生代码或受管理代码中创建的套接字、Cronet 和 OkHttp 等网络库,以及基于这些库实现的任何 API。尝试解析本地网络上的服务(即带有 .local 后缀的服务)将需要本地网络权限。
上述规则的例外情况:
- 如果设备的 DNS 服务器位于本地网络上,则进出该服务器(位于端口 53)的流量不需要本地网络访问权限。
- 如果应用使用输出切换器作为其应用内选择器,则无需本地网络权限(更多指南将在 2025 年第 4 季度发布)。
开发者指南(选择启用)
如需选择启用本地网络限制,请执行以下操作:
- 将设备刷写到 25Q2 Beta 3 或更高版本的 build。
- 安装要测试的应用。
在 adb 中切换 Appcompat 标志:
adb shell am compat enable RESTRICT_LOCAL_NETWORK <package_name>重启设备
现在,您的应用对本地网络的访问受到限制,任何访问本地网络的尝试都会导致套接字错误。如果您使用的 API 在应用进程之外执行本地网络操作(例如:NsdManager),在选择启用阶段,这些 API 不会受到影响。
如需恢复访问权限,您必须向应用授予 NEARBY_WIFI_DEVICES 权限。
- 确保应用在其清单中声明了
NEARBY_WIFI_DEVICES权限。 - 依次前往设置 > 应用 > [应用名称] > 权限 > 附近的设备 > 允许。
现在,应用对本地网络的访问权限应该已恢复,并且所有场景都应像选择启用应用之前一样正常运行。
本地网络保护功能开始强制执行后,应用的网络流量将受到以下影响。
| 权限 | 出站 LAN 请求 | 出站/入站互联网请求 | 入站 LAN 请求 |
|---|---|---|---|
| 已授予 | Works | Works | Works |
| 未授予 | 最差排行榜 | Works | 最差排行榜 |
使用以下命令切换关闭应用兼容性标志
adb shell am compat disable RESTRICT_LOCAL_NETWORK <package_name>
错误
每当调用套接字调用 send 或 send 变体向本地网络地址发送数据时,系统都会向该套接字返回因这些限制而产生的错误。
错误示例:
sendto failed: EPERM (Operation not permitted)
sendto failed: ECONNABORTED (Operation not permitted)
本地网络定义
此项目中的本地网络是指使用支持广播的网络接口(例如 Wi-Fi 或以太网)的 IP 网络,但不包括移动网络 (WWAN) 或 VPN 连接。
以下网络被视为本地网络:
IPv4:
- 169.254.0.0/16 // 链路本地
- 100.64.0.0/10 // CGNAT
- 10.0.0.0/8 // RFC1918
- 172.16.0.0/12 // RFC1918
- 192.168.0.0/16 // RFC1918
IPv6:
- 链路本地
- 直接连接的路线
- Thread 等桩网络
- 多个子网(待定)
此外,多播地址 (224.0.0.0/4、ff00::/8) 和 IPv4 广播地址 (255.255.255.255) 都归类为本地网络地址。
應用程式擁有的相片
當指定 SDK 36 以上版本的應用程式在搭載 Android 16 以上版本的裝置上執行時,如果系統提示使用者授予相片和影片權限,選擇限制所選媒體存取權的使用者會在相片挑選器中看到應用程式預先選取的所有相片。使用者可以取消選取任何預先選取的項目,這樣一來,應用程式就無法存取這些相片和影片。