Verhaltensänderungen: Apps, die auf Android 16 oder höher ausgerichtet sind

Wie bei früheren Versionen enthält Android 16 Verhaltensänderungen, die sich auf Ihre App auswirken können. Die folgenden Verhaltensänderungen gelten ausschließlich für Apps, die auf Android 16 oder höher ausgerichtet sind. Wenn Ihre App auf Android 16 oder höher ausgerichtet ist, sollten Sie sie gegebenenfalls so anpassen, dass sie diese Verhaltensweisen unterstützt.

Sehen Sie sich auch die Liste der Verhaltensänderungen an, die sich auf alle Apps auswirken, die unter Android 16 ausgeführt werden, unabhängig vom targetSdkVersion Ihrer App.

Nutzererfahrung und System-UI

Android 16 (API‑Level 36) enthält die folgenden Änderungen, die für eine einheitlichere, intuitivere Nutzererfahrung sorgen sollen.

Deaktivierung von Edge-to-Edge-Anzeigen wird eingestellt

Android 15 强制执行全屏显示，但您的应用可以通过将 R.attr#windowOptOutEdgeToEdgeEnforcement 设置为 true 来选择停用此功能。对于以 Android 16（API 级别 36）为目标平台的应用，R.attr#windowOptOutEdgeToEdgeEnforcement 已被废弃并停用，并且您的应用无法选择不采用从边缘到边缘的布局。

• 如果您的应用以 Android 16（API 级别 36）为目标平台，并且在 Android 15 设备上运行，则 R.attr#windowOptOutEdgeToEdgeEnforcement 会继续正常运行。
• 如果您的应用以 Android 16（API 级别 36）为目标平台，并且在 Android 16 设备上运行，则 R.attr#windowOptOutEdgeToEdgeEnforcement 会被停用。

如需在 Android 16 中进行测试，请确保您的应用支持无边框设计，并移除所有 R.attr#windowOptOutEdgeToEdgeEnforcement 用法，以便您的应用在 Android 15 设备上也能支持无边框设计。如需支持从边缘到边缘的显示，请参阅 Compose 和 Views 指南。

Migration oder Deaktivierung für die Funktion „Vorhersagende Zurück-Geste“ erforderlich

Bei Apps, die auf Android 16 (API‑Level 36) oder höher ausgerichtet sind und auf einem Gerät mit Android 16 oder höher ausgeführt werden, sind die Systemanimationen für das vorhersagbare Zurückgehen (Zurück zum Startbildschirm, Aufgabenübergang und Aktivitätsübergang) standardmäßig aktiviert. Außerdem wird onBackPressed nicht aufgerufen und KeyEvent.KEYCODE_BACK wird nicht mehr gesendet.

Wenn Ihre App das Zurück-Ereignis abfängt und Sie noch nicht auf die Vorhersage für „Zurück“ migriert haben, aktualisieren Sie Ihre App, damit sie unterstützte APIs für die Zurück-Navigation verwendet, oder deaktivieren Sie die Vorhersage vorübergehend, indem Sie das Attribut android:enableOnBackInvokedCallback in der <application>- oder <activity>-Kennzeichnung der AndroidManifest.xml-Datei Ihrer App auf false festlegen.

Die Animation für die intelligente „Zurück zum Startbildschirm“-Touchgeste.

Die vorausschauende Aktivitätsanimation.

Die vorhersagende Animation für mehrere Aufgaben.

Elegant Font APIs eingestellt und deaktiviert

以 Android 15（API 级别 35）为目标平台的应用默认将 elegantTextHeight TextView 属性设置为 true，从而将紧凑型字体替换为可读性更高的字体。您可以通过将 elegantTextHeight 属性设置为 false 来替换此设置。

Android 16 弃用了 elegantTextHeight 属性，当您的应用以 Android 16 为目标平台后，系统会忽略该属性。由这些 API 控制的“界面字体”即将停用，因此您应调整所有布局，以确保阿拉伯语、老挝语、缅甸语、泰米尔语、古吉拉特语、卡纳达语、马拉雅拉姆语、奥里亚语、泰卢固语或泰语文本的呈现效果一致且不受未来变化的影响。

针对以 Android 14（API 级别 34）及更低版本为目标平台的应用，或针对以 Android 15（API 级别 35）为目标平台且通过将 elegantTextHeight 属性设置为 false 替换默认值的应用，

elegantTextHeight 行为。

以 Android 16（API 级别 36）为目标平台的应用，或以 Android 15（API 级别 35）为目标平台但未通过将 elegantTextHeight 属性设置为 false 来替换默认值的应用，其

elegantTextHeight 行为。

Hauptfunktion

Android 16 (API‑Level 36) umfasst die folgenden Änderungen, die verschiedene Kernfunktionen des Android-Systems modifizieren oder erweitern.

Optimierung der Arbeitsplanung mit festem Tarif

在以 Android 16 为目标平台之前，如果 scheduleAtFixedRate 因不在有效的进程生命周期内而错过了任务执行，则当应用返回到有效的生命周期时，所有错过的执行会立即执行。

以 Android 16 为目标平台时，当应用返回到有效的生命周期时，系统会立即执行最多 1 次未执行的 scheduleAtFixedRate 执行。此行为变更预计会提升应用性能。在您的应用中测试此行为，检查您的应用是否受到影响。您还可以使用应用兼容性框架并启用 STPE_SKIP_MULTIPLE_MISSED_PERIODIC_TASKS 兼容性标志进行测试。

Formfaktoren von Geräten

Android 16 (API‑Level 36) enthält die folgenden Änderungen für Apps, die auf Geräten mit großem Bildschirm angezeigt werden.

Adaptive Layouts

Android-Apps laufen jetzt auf einer Vielzahl von Geräten (z. B. Smartphones, Tablets, faltbare Geräte, Computer, Autos und Fernseher) und in verschiedenen Fenstermodi auf großen Bildschirmen (z. B. Split-Screen und Desktop-Fenster). Entwickler sollten Android-Apps entwickeln, die sich unabhängig von der Geräteausrichtung an jede Bildschirm- und Fenstergröße anpassen. Paradigmen wie die Einschränkung der Ausrichtung und Größenänderung sind in der heutigen Welt mit mehreren Geräten zu restriktiv.

Einschränkungen in Bezug auf Ausrichtung, Anpassbarkeit der Größe und Seitenverhältnis ignorieren

Bei Apps, die auf Android 16 (API-Level 36) ausgerichtet sind, gelten Einschränkungen für Ausrichtung, Größenänderung und Seitenverhältnis nicht mehr auf Displays mit einer Mindestbreite von mindestens 600 dp. Apps füllen das gesamte Displayfenster aus, unabhängig vom Seitenverhältnis oder der bevorzugten Ausrichtung des Nutzers. Pillarboxing wird nicht verwendet.

Diese Änderung führt zu einem neuen Standardverhalten der Plattform. Android entwickelt sich zu einem Modell, bei dem Apps an verschiedene Ausrichtungen, Displaygrößen und Seitenverhältnisse angepasst werden müssen. Einschränkungen wie eine feste Ausrichtung oder eine begrenzte Anpassbarkeit der Größe beeinträchtigen die Anpassungsfähigkeit von Apps. Gestalten Sie Ihre App adaptiv, um eine optimale Nutzererfahrung zu bieten.

Sie können dieses Verhalten auch mit dem App-Kompatibilitäts-Framework testen und das Kompatibilitäts-Flag UNIVERSAL_RESIZABLE_BY_DEFAULT aktivieren.

Häufige wichtige Änderungen

Wenn Sie die Einschränkungen für Ausrichtung, Anpassbarkeit und Seitenverhältnis ignorieren, kann sich das auf die Benutzeroberfläche Ihrer App auf einigen Geräten auswirken, insbesondere auf Elemente, die für kleine Layouts im Hochformat entwickelt wurden. Beispiele sind gestreckte Layouts sowie Animationen und Komponenten, die nicht auf dem Bildschirm angezeigt werden. Annahmen zum Seitenverhältnis oder zur Ausrichtung können zu visuellen Problemen in Ihrer App führen. Weitere Informationen dazu, wie Sie diese Probleme vermeiden und das adaptive Verhalten Ihrer App verbessern können.

Wenn Sie die Geräteausrichtung zulassen, wird die Aktivität häufiger neu erstellt. Das kann dazu führen, dass der Nutzerstatus verloren geht, wenn er nicht richtig beibehalten wird. Informationen zum korrekten Speichern des UI-Zustands finden Sie unter UI-Zustände speichern.

Details zur Implementierung

Die folgenden Manifestattribute und Laufzeit-APIs werden auf Geräten mit großem Display im Vollbild- und Mehrfenstermodus ignoriert:

• screenOrientation
• resizableActivity
• minAspectRatio
• maxAspectRatio
• setRequestedOrientation()
• getRequestedOrientation()

Die folgenden Werte für screenOrientation, setRequestedOrientation() und getRequestedOrientation() werden ignoriert:

• portrait
• reversePortrait
• sensorPortrait
• userPortrait
• landscape
• reverseLandscape
• sensorLandscape
• userLandscape

Die Größenanpassung des Displays wird durch android:resizeableActivity="false", android:minAspectRatio und android:maxAspectRatio nicht beeinflusst.

Bei Apps, die auf Android 16 (API-Level 36) ausgerichtet sind, werden die Ausrichtung, die Anpassbarkeit der Größe und die Einschränkungen des Seitenverhältnisses auf großen Bildschirmen standardmäßig ignoriert. Jede App, die noch nicht vollständig bereit ist, kann dieses Verhalten jedoch vorübergehend überschreiben, indem sie die Funktion deaktiviert. Dadurch wird das vorherige Verhalten aktiviert, bei dem die App im Kompatibilitätsmodus ausgeführt wird.

Ausnahmen

Die Einschränkungen für Ausrichtung, Größenänderung und Seitenverhältnis unter Android 16 gelten in den folgenden Situationen nicht:

• Spiele (basierend auf der android:appCategory-Kennzeichnung)
• Nutzer, die das Standardverhalten der App in den Einstellungen für das Seitenverhältnis des Geräts explizit aktivieren
• Bildschirme, die kleiner als sw600dp sind

Vorübergehend deaktivieren

Wenn Sie eine bestimmte Aktivität deaktivieren möchten, deklarieren Sie die Manifest-Eigenschaft PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY:

<activity ...>
  <property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
  ...
</activity>

Wenn zu viele Teile Ihrer App nicht für Android 16 bereit sind, können Sie die Funktion vollständig deaktivieren, indem Sie dieselbe Property auf Anwendungsebene anwenden:

<application ...>
  <property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
</application>

Wichtig :Der Opt-out ist vorübergehend und gilt nicht, wenn Sie in einem zukünftigen Android-Release API-Level 37 als Ziel verwenden. Das bedeutet, dass für Apps, die auf API-Level 37 ausgerichtet sind, Einschränkungen für Ausrichtung, Anpassbarkeit der Größe und Seitenverhältnis auf Displays mit einer Größe von mindestens sw600dp ignoriert werden.

Gesundheit und Fitness

Android 16 (API‑Level 36) enthält die folgenden Änderungen in Bezug auf Gesundheits- und Fitnessdaten.

Berechtigungen für Gesundheit und Fitness

Für Apps, die auf Android 16 (API‑Level 36) oder höher ausgerichtet sind, werden für BODY_SENSORS-Berechtigungen detailliertere Berechtigungen unter android.permissions.health verwendet, die auch von Health Connect genutzt werden. Ab Android 16 ist für alle APIs, für die bisher BODY_SENSORS oder BODY_SENSORS_BACKGROUND erforderlich war, stattdessen die entsprechende android.permissions.health-Berechtigung erforderlich. Dies betrifft die folgenden Datentypen, APIs und Arten von Vordergrunddiensten:

• HEART_RATE_BPM aus den Gesundheitsdiensten unter Wear OS
• Sensor.TYPE_HEART_RATE aus dem Android Sensor Manager
• heartRateAccuracy und heartRateBpm aus ProtoLayout unter Wear OS
• FOREGROUND_SERVICE_TYPE_HEALTH, wobei die entsprechende Berechtigung android.permission.health anstelle von BODY_SENSORS erforderlich ist

Wenn Ihre App diese APIs verwendet, sollte sie die entsprechenden detaillierten Berechtigungen anfordern:

• Für die Überwachung von Herzfrequenz, SpO2 oder Hauttemperatur während der Nutzung: Fordern Sie die detaillierte Berechtigung unter android.permissions.health an, z. B. READ_HEART_RATE anstelle von BODY_SENSORS.
• Für den Zugriff auf Sensoren im Hintergrund: Fordern Sie READ_HEALTH_DATA_IN_BACKGROUND anstelle von BODY_SENSORS_BACKGROUND an.

Diese Berechtigungen sind dieselben, die den Zugriff auf das Lesen von Daten aus Health Connect, dem Android-Datenspeicher für Gesundheits‑, Fitness- und Wellnessdaten, schützen.

Mobile Apps

Mobile Apps, die zur Verwendung von READ_HEART_RATE und anderen detaillierten Berechtigungen migriert werden, müssen auch eine Aktivität deklarieren, um die Datenschutzerklärung der App anzuzeigen. Das ist dieselbe Anforderung wie bei Health Connect.

Wichtig :Wenn Sie keine Begründung für mobile Apps angeben, wird die Berechtigung widerrufen.

Konnektivität

Android 16 (API-Level 36) enthält die folgenden Änderungen am Bluetooth-Stack, um die Verbindung mit Peripheriegeräten zu verbessern.

Neue Intents für den Umgang mit Verlust der Bindung und Änderungen an der Verschlüsselung

Im Rahmen der Verbesserten Verarbeitung von Verbindungsverlusten werden in Android 16 außerdem zwei neue Intents eingeführt, um Apps besser über Verbindungsverluste und Verschlüsselungsänderungen zu informieren.

Für Apps, die auf Android 16 ausgerichtet sind, ist jetzt Folgendes möglich:

• Sie erhalten eine ACTION_KEY_MISSING-Intent, wenn ein Verlust der Remote-Bindung erkannt wird. So können Sie Nutzern informativeres Feedback geben und entsprechende Maßnahmen ergreifen.
• Sie erhalten eine ACTION_ENCRYPTION_CHANGE-Intent, wenn sich der Verschlüsselungsstatus des Links ändert. Dazu gehören Änderungen des Verschlüsselungsstatus, des Verschlüsselungsalgorithmus und der Größe des Verschlüsselungsschlüssels. Apps müssen davon ausgehen, dass die Verknüpfung wiederhergestellt wurde, wenn die Verknüpfung nach Erhalt der ACTION_ENCRYPTION_CHANGE-Intent erfolgreich verschlüsselt wurde.

Anpassung an unterschiedliche OEM-Implementierungen

Diese neuen Intents werden in Android 16 eingeführt, ihre Implementierung und Übertragung kann jedoch je nach Gerätehersteller (OEM) variieren. Damit Ihre App auf allen Geräten einheitlich und zuverlässig funktioniert, sollten Entwickler die Verarbeitung von Verbindungsverlusten so gestalten, dass sie sich an diese potenziellen Abweichungen anpasst.

Wir empfehlen folgende App-Verhaltensweisen:

• Wenn die ACTION_KEY_MISSING-Intent gesendet wird:

  Die ACL-Verbindung (Asynchronous Connectionless) wird vom System getrennt, die Informationen zur Bindung für das Gerät bleiben jedoch erhalten (wie hier beschrieben).

  Ihre App sollte diese Intent als primäres Signal für die Erkennung von Verbindungsverlusten verwenden und den Nutzer auffordern, zu bestätigen, dass sich das Remotegerät in Reichweite befindet, bevor das Gerät vergessen oder neu gekoppelt wird.

  Wenn die Verbindung eines Geräts nach dem Empfang von ACTION_KEY_MISSING getrennt wird, sollte deine App vorsichtig sein, bevor sie eine neue Verbindung herstellt, da das Gerät möglicherweise nicht mehr mit dem System verbunden ist.

• Wenn die ACTION_KEY_MISSING-Intent NICHT gesendet wird:

  Die ACL-Verbindung bleibt bestehen und die Informationen zur Kopplung des Geräts werden vom System entfernt, genau wie bei Android 15.

  In diesem Fall sollte Ihre App die vorhandenen Mechanismen zur Verarbeitung von Verbindungsverlusten wie in früheren Android-Releases fortsetzen, um Verbindungsverluste zu erkennen und zu verwalten.

Neue Möglichkeit zum Entfernen einer Bluetooth-Verbindung

Alle Apps, die auf Android 16 ausgerichtet sind, können jetzt Bluetooth-Geräte über eine öffentliche API in CompanionDeviceManager entkoppeln. Wenn ein Companion-Gerät als CDM-Verknüpfung verwaltet wird, kann die App die Entfernung der Bluetooth-Verknüpfung über die neue removeBond(int) API auf dem verknüpften Gerät auslösen. Die App kann die Änderungen des Kopplungsstatus überwachen, indem sie das Bluetooth-Geräte-Broadcast-Ereignis ACTION_BOND_STATE_CHANGED überwacht.

Sicherheit

Android 16 (API‑Level 36) enthält die folgenden Sicherheitsänderungen.

Sperrung der MediaStore-Version

Bei Apps, die auf Android 16 oder höher ausgerichtet sind, ist MediaStore#getVersion() jetzt für jede App eindeutig. Dadurch werden identifizierende Eigenschaften aus dem Versionsstring entfernt, um Missbrauch und Verwendung für Fingerprinting-Techniken zu verhindern. Apps dürfen keine Annahmen über das Format dieser Version treffen. Apps sollten Versionsänderungen bereits bei der Verwendung dieser API verarbeiten und in den meisten Fällen sollte ihr aktuelles Verhalten nicht geändert werden müssen, es sei denn, der Entwickler hat versucht, zusätzliche Informationen abzuleiten, die über den beabsichtigten Umfang dieser API hinausgehen.

Sicherere Intents

“更安全的 intent”功能是一项多阶段安全计划，旨在提高 Android 的 intent 解析机制的安全性。目标是在 intent 处理期间添加检查，并过滤不符合特定条件的 intent，从而保护应用免受恶意操作的侵害。

在 Android 15 中，该功能侧重于发送应用，现在在 Android 16 中，控制权转移到了接收应用，允许开发者使用其应用清单选择加入严格的 intent 解析。

我们正在实施两项关键变更：

1. 显式 intent 必须与目标组件的 intent 过滤器相匹配：如果 intent 显式定位到某个组件，则应与该组件的 intent 过滤器相匹配。

2. 没有操作的 intent 无法匹配任何 intent 过滤器：未指定操作的 intent 不应解析为任何 intent 过滤器。

这些变更仅在涉及多个应用时适用，不会影响单个应用内的 intent 处理。

影响

选择启用性质意味着，开发者必须在应用清单中明确启用它，才能使其生效。 因此，此功能的影响将仅限于以下应用：

• 了解“更安全的 intent”功能及其优势。
• 主动选择在应用中采用更严格的 intent 处理实践。

这种选择性采用的方法可最大限度地降低破坏可能依赖于当前不太安全的 intent 解析行为的现有应用的风险。

虽然在 Android 16 中，初始影响可能有限，但“更安全的 intent”计划的路线图显示，未来 Android 版本的影响范围会更广。我们计划最终将严格的意图解析设为默认行为。

“更安全的 intent”功能可让恶意应用更难利用 intent 解析机制中的漏洞，从而有望显著提升 Android 生态系统的安全性。

不过，向选择退出和强制执行的过渡必须谨慎管理，以解决现有应用的潜在兼容性问题。

实现

开发者需要在应用清单中使用 intentMatchingFlags 属性明确启用更严格的 intent 匹配。 以下示例展示了如何为整个应用选择启用该功能，但在接收器上停用/选择停用该功能：

<application android:intentMatchingFlags="enforceIntentFilter">
    <receiver android:name=".MyBroadcastReceiver" android:exported="true" android:intentMatchingFlags="none">
        <intent-filter>
            <action android:name="com.example.MY_CUSTOM_ACTION" />
        </intent-filter>
        <intent-filter>
            <action android:name="com.example.MY_ANOTHER_CUSTOM_ACTION" />
        </intent-filter>
    </receiver>
</application>

注意： 该属性可以在 <application> 标记以及组件标记（例如 <activity>、<activity-alias>、<receiver>、<service>、<provider>）上指定，并且组件上的属性可用于替换 <application> 标记上的属性

有关支持的标志的更多信息：

标志名称	说明
enforceIntentFilter	对传入的 intent 强制执行更严格的匹配
none	停用针对传入 intent 的所有特殊匹配规则。指定多个标志时，系统会优先考虑“无”标志，以解决值冲突问题
allowNullAction	放宽了匹配规则，允许匹配没有操作的 intent。此标志与“enforceIntentFilter”结合使用可实现特定行为

测试和调试

在强制执行处于有效状态时，如果 intent 调用方已正确填充 intent，应用应能正常运行。 不过，被屏蔽的 intent 会触发警告日志消息（例如 "Intent does not match component's intent filter:" 和 "Access blocked:"），并带有标记 "PackageManager."。这表示存在可能会影响应用的潜在问题，需要引起注意。

Logcat 过滤条件：

tag=:PackageManager & (message:"Intent does not match component's intent filter:" | message: "Access blocked:")

GPU-Syscall-Filterung

Um die Mali-GPU-Oberfläche zu härten, wurden Mali-GPU-IOCTLs, die eingestellt wurden oder nur für die GPU-Entwicklung vorgesehen sind, in Produktions-Builds blockiert. Außerdem wurden IOCTLs, die für das GPU-Profiling verwendet werden, auf den Shell-Prozess oder debugfähige Anwendungen beschränkt. Weitere Informationen zur Richtlinie auf Plattformebene finden Sie im SAC-Update.

Diese Änderung betrifft Pixel-Geräte mit Mali-GPU (Pixel 6 bis Pixel 9). Arm hat eine offizielle Kategorisierung seiner IOCTLs in Documentation/ioctl-categories.rst seines r54p2-Release bereitgestellt. Diese Liste wird auch in zukünftigen Treiberversionen weitergeführt.

Diese Änderung hat keine Auswirkungen auf unterstützte Grafik-APIs (einschließlich Vulkan und OpenGL) und sollte sich nicht auf Entwickler oder vorhandene Anwendungen auswirken. GPU-Profiling-Tools wie der Streamline Performance Analyzer und der Android GPU Inspector sind davon nicht betroffen.

Testen

Wenn Sie eine SELinux-Verweigerung wie die folgende sehen, ist Ihre Anwendung wahrscheinlich von dieser Änderung betroffen:

06-30 10:47:18.617 20360 20360 W roidJUnitRunner: type=1400 audit(0.0:85): avc:  denied  { ioctl }
for  path="/dev/mali0" dev="tmpfs" ino=1188 ioctlcmd=0x8023
scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:gpu_device:s0 tclass=chr_file
permissive=0 app=com.google.android.selinux.pts

Wenn Ihre Anwendung blockierte IOCTLs verwenden muss, melden Sie bitte einen Fehler und weisen Sie ihn [e-mail] zu.

Häufig gestellte Fragen

1. Gilt diese Richtlinienänderung für alle OEMs? Diese Änderung ist optional, steht aber allen OEMs zur Verfügung, die diese Härtungsmethode verwenden möchten. Eine Anleitung zur Implementierung der Änderung finden Sie in der Implementierungsdokumentation.

2. Muss ich Änderungen an der OEM-Codebasis vornehmen, um diese Funktion zu implementieren, oder ist sie standardmäßig in einem neuen AOSP-Release enthalten? Die Änderung auf Plattformebene wird standardmäßig mit einem neuen AOSP-Release eingeführt. Anbieter können diese Änderung in ihrem Code aktivieren, wenn sie sie anwenden möchten.

3. Sind SoCs dafür verantwortlich, die IOCTL-Liste auf dem neuesten Stand zu halten? Wenn mein Gerät beispielsweise eine ARM Mali-GPU verwendet, muss ich mich wegen der Änderungen an ARM wenden? Einzelne SoCs müssen ihre IOCTL-Listen pro Gerät bei der Veröffentlichung des Treibers aktualisieren. ARM aktualisiert beispielsweise die veröffentlichte IOCTL-Liste bei Treiberupdates. OEMs sollten jedoch darauf achten, dass sie die Updates in ihre SEPolicy aufnehmen und bei Bedarf ausgewählte benutzerdefinierte IOCTLs den Listen hinzufügen.

4. Wird diese Änderung automatisch auf alle im Handel erhältlichen Pixel angewendet oder ist eine Nutzeraktion erforderlich, um sie zu aktivieren? Diese Änderung gilt für alle im Handel erhältlichen Pixel-Geräte mit Mali-GPU (Pixel 6 bis 9). Es ist keine Nutzeraktion erforderlich, um diese Änderung zu übernehmen.

5. Hat die Verwendung dieser Richtlinie Auswirkungen auf die Leistung des Kerneltreibers? Diese Richtlinie wurde mit GFXBench auf der Mali-GPU getestet. Es wurde keine messbare Änderung der GPU-Leistung beobachtet.

6. Muss die IOCTL-Liste mit den aktuellen Userspace- und Kerneltreiberversionen übereinstimmen? Ja, die Liste der zulässigen IOCTLs muss mit den IOCTLs synchronisiert werden, die sowohl von den Userspace- als auch von den Kernel-Treibern unterstützt werden. Wenn die IOCTLs im Userspace oder im Kernel-Treiber aktualisiert werden, muss die SEPolicy-IOCTL-Liste entsprechend aktualisiert werden.

7. ARM hat IOCTLs als „eingeschränkt“ / „Instrumentierung“ kategorisiert, aber wir möchten einige davon in Produktionsanwendungsfällen verwenden und/oder andere ablehnen. Die einzelnen OEMs/SoCs sind dafür verantwortlich, wie sie die von ihnen verwendeten IOCTLs basierend auf der Konfiguration ihrer Mali-Bibliotheken im Userspace kategorisieren. Die Liste von ARM kann bei der Entscheidung helfen, aber der Anwendungsfall jedes OEM/SoC kann unterschiedlich sein.

Datenschutz

Android 16 (API‑Level 36) umfasst die folgenden Änderungen in Bezug auf den Datenschutz.

Berechtigung für das lokale Netzwerk

Auf Geräte im LAN kann von jeder App zugegriffen werden, die die Berechtigung INTERNET hat. Dadurch können Apps problemlos eine Verbindung zu lokalen Geräten herstellen. Dies hat jedoch auch Auswirkungen auf den Datenschutz, z. B. in Bezug auf die Erstellung eines Fingerabdrucks des Nutzers und die Verwendung als Proxy für den Standort.

Das Projekt „Local Network Protections“ zielt darauf ab, die Privatsphäre des Nutzers zu schützen, indem der Zugriff auf das lokale Netzwerk durch eine neue Laufzeitberechtigung eingeschränkt wird.

Release-Plan

Diese Änderung wird zwischen zwei Releases bereitgestellt, nämlich 25Q2 und 26Q2. Entwickler müssen diese Anleitung für das 2. Quartal 2025 unbedingt befolgen und Feedback geben, da diese Schutzmaßnahmen in einem späteren Android-Release erzwungen werden. Außerdem müssen sie Szenarien, die auf implizitem lokalen Netzwerkzugriff basieren, gemäß der folgenden Anleitung aktualisieren und sich auf die Ablehnung und den Widerruf der neuen Berechtigung durch Nutzer vorbereiten.

Positiv beeinflussen

Derzeit ist LNP eine Opt-in-Funktion. Das bedeutet, dass nur die Apps betroffen sind, für die sie aktiviert wurde. In der Opt-in-Phase sollen App-Entwickler herausfinden, welche Teile ihrer App auf impliziten Zugriff auf das lokale Netzwerk angewiesen sind, damit sie sich auf die Berechtigungsanforderungen für die nächste Version vorbereiten können.

Apps sind betroffen, wenn sie über folgende Methoden auf das lokale Netzwerk des Nutzers zugreifen:

• Direkte oder bibliotheksbasierte Verwendung von Raw Sockets für lokale Netzwerkadressen (z.B. mDNS- oder SSDP-Diensterkennungsprotokoll)
• Verwendung von Klassen auf Framework-Ebene, die auf das lokale Netzwerk zugreifen (z.B. NsdManager)

Für Traffic zu und von einer lokalen Netzwerkadresse ist die Berechtigung für den Zugriff auf das lokale Netzwerk erforderlich. In der folgenden Tabelle sind einige häufige Fälle aufgeführt:

Low-Level-Netzwerkbetrieb der App	Berechtigung für das lokale Netzwerk erforderlich
Ausgehende TCP-Verbindung herstellen	Ja
Eingehende TCP-Verbindungen akzeptieren	Ja
Senden eines UDP-Unicast, ‑Multicast oder ‑Broadcast	Ja
Eingehendes UDP-Unicast, ‑Multicast oder ‑Broadcast empfangen	Ja

Diese Einschränkungen sind tief im Netzwerk-Stack implementiert und gelten daher für alle Netzwerk-APIs. Dazu gehören Sockets, die in nativem oder verwaltetem Code erstellt wurden, Netzwerkbibliotheken wie Cronet und OkHttp sowie alle APIs, die darauf basieren. Wenn Sie versuchen, Dienste im lokalen Netzwerk aufzulösen (d.h. Dienste mit dem Suffix „.local“), ist die Berechtigung für das lokale Netzwerk erforderlich.

Hinweis :Bei Traffic, der von Android-Webviews stammt, für die der Zugriff auf das lokale Netzwerk erforderlich ist, wird der Berechtigungsstatus von der Host-App übernommen.

Ausnahmen von den oben genannten Regeln:

• Wenn sich der DNS-Server eines Geräts in einem lokalen Netzwerk befindet, ist für den Traffic zu oder von diesem Gerät (über Port 53) keine Berechtigung für den Zugriff auf das lokale Netzwerk erforderlich.
• Für Apps, die Output Switcher als In-App-Auswahl verwenden, sind keine Berechtigungen für das lokale Netzwerk erforderlich (weitere Informationen folgen im 4. Quartal 2025).

Hinweis :Viele Media-Streaming-Szenarien hängen vom Zugriff auf das lokale Netzwerk ab und sind von dieser Änderung betroffen. Allerdings müssen nicht alle Apps, die Casting anbieten, die neue Berechtigung anfordern. Zukünftige APIs und Anleitungen für die Verarbeitung von Casting-Szenarien werden im 4. Quartal 2025 bereitgestellt.

Entwicklerleitfaden (Opt-in)

So aktivieren Sie Einschränkungen für das lokale Netzwerk:

1. Flashen Sie das Gerät mit einem Build mit 25Q2 Beta 3 oder höher.
2. Installieren Sie die zu testende App.

3. AppCompat-Flag in adb umschalten:

   adb shell am compat enable RESTRICT_LOCAL_NETWORK <package_name>
   

4. Gerät neu starten

Der Zugriff Ihrer App auf das lokale Netzwerk ist jetzt eingeschränkt und jeder Versuch, auf das lokale Netzwerk zuzugreifen, führt zu Socket-Fehlern. Wenn Sie APIs verwenden, die lokale Netzwerkoperationen außerhalb Ihres App-Prozesses ausführen (z. B. NsdManager), sind diese während der Opt-in-Phase nicht betroffen.

Wenn Sie den Zugriff wiederherstellen möchten, müssen Sie Ihrer App die Berechtigung für NEARBY_WIFI_DEVICES erteilen.

1. Die App muss die Berechtigung NEARBY_WIFI_DEVICES in ihrem Manifest deklarieren.
2. Öffnen Sie die Einstellungen > Apps > [Name der App] > Berechtigungen > Geräte in der Nähe > Zulassen.

Hinweis :In einer zukünftigen Android-Version wird diese Funktion durch eine neue Berechtigung in der Berechtigungsgruppe „Geräte in der Nähe“ geschützt.

Der Zugriff Ihrer App auf das lokale Netzwerk sollte jetzt wiederhergestellt sein und alle Ihre Szenarien sollten wie vor der Aktivierung der App funktionieren.

Sobald die Durchsetzung des Schutzes des lokalen Netzwerks beginnt, wirkt sich das auf den Netzwerkverkehr der App aus.

Berechtigung	Ausgehende LAN-Anfrage	Ausgehende/eingehende Internetanfrage	Eingehende LAN-Anfrage
Gewährt	Microsoft Works	Microsoft Works	Microsoft Works
Nicht gewährt	Pannen	Microsoft Works	Pannen

Verwenden Sie den folgenden Befehl, um das App-Compat-Flag zu deaktivieren:

adb shell am compat disable RESTRICT_LOCAL_NETWORK <package_name>

Fehler

Fehler, die durch diese Einschränkungen entstehen, werden an den aufrufenden Socket zurückgegeben, wenn er „send“ oder eine „send“-Variante für eine lokale Netzwerkadresse aufruft.

Beispiele für Fehler:

sendto failed: EPERM (Operation not permitted)

sendto failed: ECONNABORTED (Operation not permitted)

Definition des lokalen Netzwerks

Ein lokales Netzwerk in diesem Projekt bezieht sich auf ein IP-Netzwerk, das eine für Broadcasts geeignete Netzwerkschnittstelle wie WLAN oder Ethernet verwendet, jedoch keine Mobilfunk- (WWAN) oder VPN-Verbindungen.

Die folgenden Netzwerke gelten als lokale Netzwerke:

IPv4:

• 169.254.0.0/16 // Link Local
• 100.64.0.0/10 // CGNAT
• 10.0.0.0/8 // RFC1918
• 172.16.0.0/12 // RFC1918
• 192.168.0.0/16 // RFC1918

IPv6:

• Link-Local
• Direkt verbundene Routen
• Stummelnetzwerke wie Thread
• Mehrere Subnetze (noch nicht festgelegt)

Außerdem werden sowohl Multicast-Adressen (224.0.0.0/4, ff00::/8) als auch die IPv4-Broadcast-Adresse (255.255.255.255) als lokale Netzwerkadressen klassifiziert.

App-eigene Fotos

当面向 SDK 36 或更高版本的应用在搭载 Android 16 或更高版本的设备上提示用户授予照片和视频权限时，如果用户选择限制对所选媒体的访问权限，则会在照片选择器中看到该应用拥有的所有照片。用户可以取消选择任何这些预选项，这会撤消该应用对这些照片和视频的访问权限。