שינויים בהתנהגות: אפליקציות שמטרגטות ל-Android מגרסה 16 ואילך

בדומה לגרסאות קודמות, Android 16 כולל שינויים בהתנהגות שעשויים להשפיע על האפליקציה שלכם. שינויי ההתנהגות הבאים רלוונטיים רק לאפליקציות שמטרגטות את Android 16 ואילך. אם האפליקציה שלכם מטרגטת את Android מגרסה 16 ואילך, אתם צריכים לשנות את האפליקציה כדי שהיא תתמוך בהתנהגויות האלה, במקרים הרלוונטיים.

חשוב גם לבדוק את רשימת השינויים בהתנהגות שמשפיעים על כל האפליקציות שפועלות ב-Android 16, בלי קשר ל-targetSdkVersion של האפליקציה.

חוויית המשתמש וממשק המשתמש של המערכת

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים, שנועדו ליצור חוויית משתמש עקבית ואינטואיטיבית יותר.

האפשרות להסיר את התצוגה מקצה לקצה תבוטל

האפשרות 'מקצה לקצה' נאכפת ב-Android 15 באפליקציות שמטרגטות ל-Android 15 (רמת API‏ 35), אבל אפשר להשבית אותה באפליקציה על ידי הגדרת R.attr#windowOptOutEdgeToEdgeEnforcement ל-true. באפליקציות שמטרגטות ל-Android 16 (רמת API 36),‏ R.attr#windowOptOutEdgeToEdgeEnforcement הוצא משימוש ומושבת, ולא ניתן לבטל את ההגדרה של תצוגה מקצה לקצה באפליקציה.

• אם האפליקציה מיועדת ל-Android 16 (רמת API 36) והיא פועלת במכשיר עם Android 15, הפונקציה R.attr#windowOptOutEdgeToEdgeEnforcement ממשיכה לפעול.
• אם האפליקציה מטרגטת ל-Android 16 (רמת API 36) והיא פועלת במכשיר עם Android 16, התכונה R.attr#windowOptOutEdgeToEdgeEnforcement מושבתת.

כדי לבדוק ב-Android 16, מוודאים שהאפליקציה תומכת בתצוגה מקצה לקצה ומסירים את השימוש ב-R.attr#windowOptOutEdgeToEdgeEnforcement כדי שהאפליקציה תתמוך בתצוגה מקצה לקצה גם במכשיר Android 15. הוראות לגבי תמיכה בתצוגה מקצה לקצה מופיעות במאמרים יצירת מסמכים ותצוגות.

כדי להשתמש בתכונה "חיזוי החזרה", צריך לבצע העברה או לבטל את ההסכמה

באפליקציות שמטרגטות ל-Android 16 (רמת API‏ 36) ואילך ופועלות במכשיר עם Android 16 ואילך, מופעלות כברירת מחדל האנימציות של מערכת הניווט התחזיתי אחורה (חזרה למסך הבית, מעבר בין משימות ומעבר בין פעילויות). בנוסף, לא מתבצעת קריאה ל-onBackPressed ולא מתבצעת יותר שליחה של KeyEvent.KEYCODE_BACK.

אם האפליקציה שלכם מיירטת את אירוע החזרה ואתם עדיין לא עברתם לניווט חזוי אחורה, עדכנו את האפליקציה כדי להשתמש בממשקי API נתמכים של ניווט אחורה, או השביתו את התכונה באופן זמני על ידי הגדרת המאפיין android:enableOnBackInvokedCallback לערך false בתג <application> או <activity> של קובץ AndroidManifest.xml של האפליקציה.

האנימציה של חיזוי החזרה למסך הבית.

האנימציה החוזה של מעבר בין פעילויות.

האנימציה החוזה את המעבר בין המשימות.

הוצאה משימוש והשבתה של ממשקי API אלגנטיים לגופנים

באפליקציות שמטרגטות ל-Android 15 (רמת API‏ 35), מאפיין elegantTextHeight‏ TextView מוגדר כ-true כברירת מחדל, והגופן הקומפקטי מוחלף בגופן קריא הרבה יותר. אפשר לשנות את ההגדרה הזו על ידי הגדרת המאפיין elegantTextHeight לערך false.

ב-Android 16, המאפיין elegantTextHeight הוצא משימוש. המערכת תתעלם מהמאפיין הזה ברגע שהאפליקציה תטרגט ל-Android 16. ממשקי ה-API האלה שולטים ב'גופנים של ממשק המשתמש', אבל הם יוצאים משימוש. לכן, צריך להתאים את הפריסות כדי להבטיח עיבוד עקבי של טקסט בעברית, בלאית, במיאנמר, בטמילית, בגוג'ראטית, בקנאדה, במלאיאלאם, באודיה, בטלוגו או בתאילנדית.

ההתנהגות של

elegantTextHeight באפליקציות שמטרגטות ל-Android 14 (רמת API‏ 34) ומטה, או באפליקציות שמטרגטות ל-Android 15 (רמת API‏ 35) ששינו את ברירת המחדל על ידי הגדרת המאפיין elegantTextHeight ל-false.

התנהגות

elegantTextHeight באפליקציות שמטרגטות ל-Android ‫16 (רמת API‏ 36), או באפליקציות שמטרגטות ל-Android 15 (רמת API‏ 35) שלא ביטלו את ברירת המחדל על ידי הגדרת המאפיין elegantTextHeight לערך false.

פונקציונליות עיקרית

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים, שמשנים או מרחיבים יכולות ליבה שונות של מערכת Android.

אופטימיזציה של תזמון פעולה בקצב קבוע

לפני הטירגוט ל-Android 16, אם scheduleAtFixedRate החמיץ ביצוע של משימה כי הוא לא היה במחזור חיים תקין של תהליך, כל הביצועים שהוחמצו מתבצעים באופן מיידי כשהאפליקציה חוזרת למחזור חיים תקין.

כשמטרגטים ל-Android 16, פעולה אחת שהוחמצה של scheduleAtFixedRate תושלם באופן מיידי כשהאפליקציה תחזור למחזור חיים תקין. שינוי ההתנהגות הזה צפוי לשפר את ביצועי האפליקציה. כדאי לבדוק את ההתנהגות הזו באפליקציה כדי לראות אם היא מושפעת. אפשר גם לבדוק באמצעות מסגרת התאימות לאפליקציות ולהפעיל את הדגל STPE_SKIP_MULTIPLE_MISSED_PERIODIC_TASKS compat.

גורמי צורה של מכשירים

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים באפליקציות כשהן מוצגות במכשירים עם מסך גדול.

פריסות מותאמות

אפליקציות ל-Android פועלות עכשיו במגוון מכשירים (כמו טלפונים, טאבלטים, מכשירים מתקפלים, מחשבים, מכוניות וטלוויזיות) ובמצבי תצוגת חלונות במסכים גדולים (כמו מסך מפוצל וממשק מחשב). לכן, מפתחים צריכים ליצור אפליקציות ל-Android שמותאמות לכל גודל מסך וחלון, בלי קשר לכיוון המסך במכשיר. פרדיגמות כמו הגבלת כיוון המסך והגבלת שינוי הגודל כבר לא מתאימות לעולם של היום, שבו משתמשים במספר מכשירים.

התעלמות מהגבלות על כיוון, שינוי גודל ויחס גובה-רוחב

באפליקציות שמטרגטות ל-Android 16 (רמת API 36), ההגבלות על כיוון, שינוי גודל ויחס גובה-רוחב לא חלות יותר על מסכים עם רוחב מינימלי של 600dp ומעלה. האפליקציות ממלאות את חלון התצוגה, בלי קשר ליחס הגובה-רוחב או להעדפת הכיוון של המשתמש, ולא נעשה שימוש בבפורמט pillarbox.

השינוי הזה מציג התנהגות חדשה של הפלטפורמה. מערכת Android עוברת למודל שבו האפליקציות צריכות להתאים את עצמן לכיוונים, לגדלים של מסכים וליחסי גובה-רוחב שונים. כיוון מסך קבוע או שינוי גודל מוגבל מקשים על התאמת האפליקציה. כדי לספק את חוויית המשתמש הטובה ביותר, צריך להתאים את האפליקציה למצבים שונים.

אפשר גם לבדוק את ההתנהגות הזו באמצעות מסגרת התאימות של האפליקציה והפעלת דגל התאימות UNIVERSAL_RESIZABLE_BY_DEFAULT.

שינויי תוכנה נפוצים שעלולים לגרום לכשלים

התעלמות מהגבלות על כיוון, שינוי גודל ויחס גובה-רוחב עלולה להשפיע על ממשק המשתמש של האפליקציה במכשירים מסוימים, במיוחד על רכיבים שנועדו לפריסות קטנות שמוגבלות לכיוון לאורך: לדוגמה, בעיות כמו פריסות מתוחות ואנימציות ורכיבים מחוץ למסך. הנחות לגבי יחס הגובה-רוחב או הכיוון עלולות לגרום לבעיות חזותיות באפליקציה. מידע נוסף על איך להימנע מבעיות כאלה ולשפר את יכולת ההתאמה של האפליקציה למצבים שונים.

כשמאפשרים סיבוב מכשיר, מתבצעות יותר יצירות מחדש של פעילויות, וזה עלול להוביל לאובדן מצב המשתמש אם הוא לא נשמר כראוי. במאמר שמירת מצבי ממשק המשתמש מוסבר איך לשמור אותם נכון.

פרטי ההטמעה

במכשירים עם מסך גדול במצב מסך מלא ובמצב ריבוי חלונות, המערכת מתעלמת ממאפייני המניפסט וממשקי ה-API של זמן הריצה הבאים:

• screenOrientation
• resizableActivity
• minAspectRatio
• maxAspectRatio
• setRequestedOrientation()
• getRequestedOrientation()

המערכת מתעלמת מהערכים הבאים של screenOrientation,‏ setRequestedOrientation() ו-getRequestedOrientation():

• portrait
• reversePortrait
• sensorPortrait
• userPortrait
• landscape
• reverseLandscape
• sensorLandscape
• userLandscape

לגבי שינוי הגודל של התצוגה, הערכים הבאים לא מושפעים: android:resizeableActivity="false",‏ android:minAspectRatio ו-android:maxAspectRatio.

באפליקציות שמיועדות ל-Android 16 (‏API ברמה 36), המערכת מתעלמת כברירת מחדל מהגבלות על כיוון האפליקציה, שינוי הגודל ויחס הגובה-רוחב במסכים גדולים. אפשר לבטל את ההתנהגות הזו באופן זמני באפליקציות שעדיין לא מוכנות (וזה יגרום להצבה במצב תאימות, כמו בהתנהגות הקודמת).

חריגים

ההגבלות על כיוון, שינוי גודל ויחס גובה-רוחב ב-Android 16 לא חלות במצבים הבאים:

• משחקים (מבוססים על הדגל של android:appCategory)
• משתמשים שמביעים הסכמה מפורשת לפעולת ברירת המחדל של האפליקציה בהגדרות יחס הגובה-רוחב של המכשיר
• מסכים שקטנים מ-sw600dp

ביטול זמני של ההסכמה

כדי לבטל את ההסכמה לפעילות ספציפית, צריך להצהיר על מאפיין המניפסט PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY:

<activity ...>
  <property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
  ...
</activity>

אם יותר מדי חלקים באפליקציה לא מוכנים ל-Android 16, אפשר לבטל את ההסכמה באופן מלא על ידי החלת אותו מאפיין ברמת האפליקציה:

<application ...>
  <property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
</application>

חשוב: ההשבתה היא זמנית ולא תחול כשמטרגטים את רמת ה-API‏ 37 בגרסת Android עתידית. זה אומר שבאפליקציות שמטרגטות לרמת API 37, המערכת מתעלמת מהגבלות על כיוון, שינוי גודל ויחס גובה-רוחב במסכים ברזולוציה של sw600dp לפחות.

בריאות וכושר

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים שקשורים לנתוני בריאות וכושר.

הרשאות ל"בריאות וכושר"

באפליקציות שמטרגטות ל-Android 16 ‏ (API level 36) ומעלה, BODY_SENSORS נעשה שימוש בהרשאות יותר מפורטות בקטע android.permissions.health, שגם Health Connect משתמש בהן. החל מ-Android 16, כל API שבעבר דרש את ההרשאות BODY_SENSORS או BODY_SENSORS_BACKGROUND דורש במקום זאת את ההרשאה התואמת android.permissions.health. השינוי הזה משפיע על סוגי הנתונים, ממשקי ה-API וסוגי השירותים שפועלים בחזית הבאים:

• HEART_RATE_BPM מתוך Health Services ב-Wear OS
• ‫Sensor.TYPE_HEART_RATE מ-Android Sensor Manager
• ‫heartRateAccuracy ו-heartRateBpm מ-ProtoLayout ב-Wear OS
• ‫FOREGROUND_SERVICE_TYPE_HEALTH במקום BODY_SENSORS, כשנדרשת ההרשאה android.permission.health

אם האפליקציה שלכם משתמשת בממשקי ה-API האלה, היא צריכה לבקש את ההרשאות הגרנולריות המתאימות:

• למעקב אחר קצב הלב, רמת החמצן בדם או טמפרטורת העור בזמן השימוש: צריך לבקש את ההרשאה הגרנולרית בקטע android.permissions.health, כמו READ_HEART_RATE במקום BODY_SENSORS.
• לגישה לחיישנים ברקע: צריך להשתמש ב-request READ_HEALTH_DATA_IN_BACKGROUND במקום ב-request BODY_SENSORS_BACKGROUND.

ההרשאות האלה זהות להרשאות שנדרשות כדי לקרוא נתונים מ-Health Connect, מאגר הנתונים של Android לנתוני בריאות, כושר ורווחה.

באפליקציות לנייד.

אפליקציות לנייד שעוברות לשימוש ב-READ_HEART_RATE ובהרשאות גרנולריות אחרות צריכות גם להצהיר על פעילות כדי להציג את מדיניות הפרטיות של האפליקציה. זו אותה דרישה כמו ב-Health Connect.

חשוב: אם לא תספקו את ההסבר לאיסוף נתונים מאפליקציות לנייד, ההרשאה תבוטל.

קישוריות

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים במערך Bluetooth כדי לשפר את הקישוריות למכשירים היקפיים.

כוונה חדשה לטיפול באובדן של קשר ובשינויים בהצפנה

כחלק משיפור הטיפול באירועים של אובדן קישור, ב-Android 16 נוספו גם 2 כוונות חדשות כדי לספק לאפליקציות מודעוּת רבה יותר לאובדן קישור ולשינויים בהצפנה.

אפליקציות שמטרגטות את Android 16 יכולות עכשיו:

• לקבל כוונה מסוג ACTION_KEY_MISSING כשמתגלה אובדן של אבטחה מרחוק, כדי לספק משוב מפורט יותר מהמשתמשים ולבצע פעולות מתאימות.
• לקבל כוונה מסוג ACTION_ENCRYPTION_CHANGE בכל פעם שסטטוס ההצפנה של הקישור משתנה. זה כולל שינוי בסטטוס ההצפנה, שינוי באלגוריתם ההצפנה ושינוי בגודל מפתח ההצפנה. אפליקציות צריכות להתייחס לאיחוד כמשוחזר אם הקישור מוצפן בהצלחה לאחר קבלת הכוונה ACTION_ENCRYPTION_CHANGE.

התאמה להטמעות שונות של יצרני ציוד מקורי (OEM)

גרסת Android 16 כוללת את הכוונות החדשות האלה, אבל ההטמעה והשידור שלהן עשויים להשתנות בהתאם ליצרני המכשירים השונים (OEM). כדי לוודא שהאפליקציה מספקת חוויה עקבית ואמינה בכל המכשירים, המפתחים צריכים לתכנן את הטיפול באובדן הקשר כך שיתאים בצורה חלקה לשינויים הפוטנציאליים האלה.

מומלץ להשתמש בהתנהגויות הבאות באפליקציות:

• אם המערכת משדרת את הכוונה ACTION_KEY_MISSING:

  המערכת תנתק את הקישור של ACL (Asynchronous Connection-Less), אבל פרטי הקישור של המכשיר יישמרו (כפי שמתואר כאן).

  האפליקציה צריכה להשתמש בכוונה הזו כאות הראשי לזיהוי אובדן החיבור, ולהנחות את המשתמש לאשר שהמכשיר המרוחק נמצא בטווח לפני שהוא מתחיל למחוק את המכשיר או לבצע התאמה מחדש.

  אם מכשיר מתנתק אחרי קבלת ACTION_KEY_MISSING, האפליקציה צריכה להיזהר לפני שתנסה להתחבר מחדש, כי יכול להיות שהמכשיר כבר לא מקושר למערכת.

• אם הכוונה ACTION_KEY_MISSING לא משודרת:

  הקישור ל-ACL יישאר מחובר, ופרטי הקישור של המכשיר יוסרו על ידי המערכת, בדומה להתנהגות ב-Android 15.

  בתרחיש הזה, האפליקציה צריכה להמשיך להשתמש במנגנונים הקיימים לטיפול באובדן אבטחה, כמו בגרסאות קודמות של Android, כדי לזהות אירועי אובדן אבטחה ולנהל אותם.

דרך חדשה להסרת שיוך Bluetooth

כל האפליקציות שמטרגטות את Android 16 יכולות עכשיו לבטל את ההתאמה של מכשירי Bluetooth באמצעות API ציבורי ב-CompanionDeviceManager. אם מכשיר נלווה מנוהל כשיוך CDM, האפליקציה יכולה להפעיל הסרה של קישור Bluetooth באמצעות ה-API החדש removeBond(int) במכשיר המשויך. האפליקציה יכולה לעקוב אחרי השינויים במצב החיבור על ידי האזנה לאירוע השידור של מכשיר ה-Bluetooth ACTION_BOND_STATE_CHANGED.

אבטחה

‫Android 16 (‏API ברמה 36) כוללת את שינויי האבטחה הבאים.

נעילת גרסה של MediaStore

באפליקציות שמטרגטות ל-Android מגרסה 16 ואילך, הערך של MediaStore#getVersion() יהיה עכשיו ייחודי לכל אפליקציה. כך, מחריגים את המאפיינים המזהים ממחרוץ הגרסה כדי למנוע ניצול לרעה ושימוש בשיטות ליצירת טביעות אצבע. אפליקציות לא צריכות להניח דבר לגבי הפורמט של הגרסה הזו. האפליקציות כבר אמורות לטפל בשינויים בגרסאות כשמשתמשים ב-API הזה, וברוב המקרים לא צריך לשנות את ההתנהגות הנוכחית שלהן, אלא אם המפתח ניסה להסיק מידע נוסף מעבר להיקף המיועד של ה-API הזה.

כוונות בטוחות יותר

התכונה Safer Intents היא יוזמת אבטחה רב-שלבית שנועדה לשפר את האבטחה של מנגנון פתרון הכוונות ב-Android. המטרה היא להגן על אפליקציות מפני פעולות זדוניות על ידי הוספת בדיקות במהלך עיבוד הכוונות וסינון כוונות שלא עומדות בקריטריונים ספציפיים.

ב-Android 15 התכונה התמקדה באפליקציה השולחת, ועכשיו ב-Android 16, השליטה עוברת לאפליקציה המקבלת, ומאפשרת למפתחים להביע הסכמה לפתרון קפדני של כוונות באמצעות מניפסט האפליקציה שלהם.

אנחנו מטמיעים שני שינויים חשובים:

1. אובייקטים מסוג Intent מפורש חייבים להתאים למסנן ה-Intent של רכיב היעד: אם אובייקט Intent מכוון במפורש לרכיב מסוים, הוא צריך להתאים למסנן ה-Intent של הרכיב הזה.

2. אובייקטים מסוג Intent ללא פעולה לא יכולים להתאים למסנן Intent כלשהו: אובייקטים מסוג Intent שלא צוינה להם פעולה לא אמורים להיות מזוהים כמסנן Intent כלשהו.

השינויים האלה חלים רק כשמעורבות כמה אפליקציות, והם לא משפיעים על הטיפול ב-Intent באפליקציה אחת.

השפעה

התכונה היא אופציונלית, ולכן מפתחים צריכים להפעיל אותה באופן מפורש במניפסט האפליקציה כדי שהיא תיכנס לתוקף. כתוצאה מכך, ההשפעה של התכונה תוגבל לאפליקציות שהמפתחים שלהן:

• מכירים את התכונה 'כוונות בטוחות יותר' ואת היתרונות שלה.
• בוחרים באופן פעיל לשלב באפליקציות שלהם שיטות לטיפול בהצהרות כוונות בצורה מחמירה יותר.

הגישה הזו מאפשרת להפעיל את התכונה רק אם רוצים, וכך מצמצמת את הסיכון לשיבוש של אפליקציות קיימות שעשויות להסתמך על ההתנהגות הנוכחית של זיהוי כוונות, שהיא פחות מאובטחת.

יכול להיות שההשפעה הראשונית ב-Android 16 תהיה מוגבלת, אבל ליוזמת Safer Intents יש תוכנית להשפעה רחבה יותר בגרסאות עתידיות של Android. התוכנית היא שבסופו של דבר, התנהגות ברירת המחדל תהיה זיהוי כוונות מדויק.

התכונה Safer Intents (העברות Intent בטוחות יותר) יכולה לשפר באופן משמעותי את האבטחה של מערכת Android, כי היא מקשה על אפליקציות זדוניות לנצל פרצות במנגנון של פתרון Intent.

עם זאת, צריך לנהל את המעבר לביטול ההסכמה ולאכיפה המחייבת בזהירות כדי לטפל בבעיות תאימות אפשריות עם אפליקציות קיימות.

הטמעה

המפתחים צריכים להפעיל באופן מפורש התאמה מחמירה יותר של Intent באמצעות המאפיין intentMatchingFlags בקובץ המניפסט של האפליקציה. הנה דוגמה למצב שבו התכונה מופעלת בהסכמה לכל האפליקציה, אבל מושבתת או שבוטלה בהסכמה במקלט:

<application android:intentMatchingFlags="enforceIntentFilter">
    <receiver android:name=".MyBroadcastReceiver" android:exported="true" android:intentMatchingFlags="none">
        <intent-filter>
            <action android:name="com.example.MY_CUSTOM_ACTION" />
        </intent-filter>
        <intent-filter>
            <action android:name="com.example.MY_ANOTHER_CUSTOM_ACTION" />
        </intent-filter>
    </receiver>
</application>

הערה: אפשר לציין את המאפיין גם בתג <application> וגם בתגי הרכיבים, כמו <activity>, <activity-alias>, <receiver>, <service>, <provider>. אפשר להשתמש במאפיין ברכיב כדי לשנות את מה שמופיע בתג <application>

מידע נוסף על הדגלים הנתמכים:

שם ההתרעה	תיאור
enforceIntentFilter	התנאי הזה מחייב התאמה מדויקת יותר של כוונות נכנסות
ללא	השבתה של כל כללי ההתאמה המיוחדים לכוונות נכנסות. כשמציינים כמה דגלים, ערכים סותרים נפתרים על ידי מתן עדיפות לדגל 'none'
allowNullAction	הכלל הזה מרחיב את כללי ההתאמה כדי לאפשר התאמה של כוונות ללא פעולה. הדגל הזה משמש בשילוב עם enforceIntentFilter כדי להשיג התנהגות ספציפית

בדיקה וניפוי באגים

כשהאכיפה פעילה, האפליקציות אמורות לפעול בצורה תקינה אם המתקשר של הכוונה מילא את הכוונה בצורה תקינה. עם זאת, כוונות חסומות יפעילו הודעות אזהרה ביומן כמו "Intent does not match component's intent filter:" ו-"Access blocked:" עם התג "PackageManager." המשמעות היא שיש בעיה פוטנציאלית שעלולה להשפיע על האפליקציה ונדרש טיפול בה.

מסנן Logcat:

tag=:PackageManager & (message:"Intent does not match component's intent filter:" | message: "Access blocked:")

סינון של קריאות מערכת (syscall) ב-GPU

为了加固 Mali GPU 表面，在生产 build 中，已废弃或仅用于 GPU 开发的 Mali GPU IOCTL 已被屏蔽。此外，用于 GPU 性能分析的 IOCTL 已限制为 shell 进程或可调试的应用。如需详细了解平台级政策，请参阅 SAC 更新。

此更改适用于使用 Mali GPU 的 Pixel 设备（Pixel 6-9）。Arm 已在其 r54p2 版本的 Documentation/ioctl-categories.rst 中提供了 IOCTL 的官方分类。此列表将在未来的驱动程序版本中继续维护。

此项变更不会影响受支持的图形 API（包括 Vulkan 和 OpenGL），预计也不会影响开发者或现有应用。 Streamline Performance Analyzer 和 Android GPU 检查器等 GPU 性能剖析工具不会受到影响。

测试

如果您看到类似如下所示的 SELinux 拒绝，则说明您的应用可能受到了此变更的影响：

06-30 10:47:18.617 20360 20360 W roidJUnitRunner: type=1400 audit(0.0:85): avc:  denied  { ioctl }
for  path="/dev/mali0" dev="tmpfs" ino=1188 ioctlcmd=0x8023
scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:gpu_device:s0 tclass=chr_file
permissive=0 app=com.google.android.selinux.pts

如果您的应用需要使用被屏蔽的 IOCTL，请提交 bug 并将其分配给 [e-mail]。

常见问题解答

1. 此政策变更是否适用于所有原始设备制造商 (OEM)？ 此变更将采用选择启用模式，但任何想要使用此强化方法的 OEM 都可以使用。如需了解如何实现此变更，请参阅实现文档。

2. 是否必须在 OEM 代码库中进行更改才能实现此功能，还是默认随新的 AOSP 版本提供？ 平台级变更将默认随新的 AOSP 版本一起发布。如果供应商想要应用此变更，可以在其代码库中选择启用此变更。

3. SoC 是否负责使 IOCTL 列表保持最新状态？例如，如果我的设备使用 ARM Mali GPU，我是否需要就任何更改与 ARM 联系？ 各个 SoC 必须在驱动程序发布后根据设备更新其 IOCTL 列表。 例如，ARM 会在驱动程序更新时更新其已发布的 IOCTL 列表。 不过，OEM 应确保在 SEPolicy 中纳入这些更新，并根据需要将任何选定的自定义 IOCTL 添加到列表中。

4. 此变更是否会自动应用于所有在售 Pixel 设备，还是需要用户执行操作来切换某些设置才能应用此变更？ 此变更适用于所有使用 Mali GPU 的 Pixel 在售设备（Pixel 6-9）。用户无需采取任何行动即可应用此变更。

5. 使用此政策会影响内核驱动程序的性能吗？ 我们使用 GFXBench 在 Mali GPU 上测试了此政策，未发现 GPU 性能有任何可衡量的变化。

6. IOCTL 列表是否需要与当前的用户空间和内核驱动程序版本保持一致？ 是的，允许的 IOCTL 列表必须与用户空间和内核驱动程序支持的 IOCTL 同步。如果用户空间或内核驱动程序中的 IOCTL 发生更新，则必须更新 SEPolicy IOCTL 列表以保持一致。

7. ARM 已将 IOCTL 分类为“受限”/“检测”，但我们希望在生产用例中使用其中一些 IOCTL，并拒绝其他 IOCTL。 各个 OEM/SoC 负责根据其用户空间 Mali 库的配置来决定如何对其使用的 IOCTL 进行分类。ARM 的列表可用于帮助确定这些值，但每个 OEM/SoC 的使用情形可能有所不同。

פרטיות

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים שקשורים לפרטיות.

הרשאה לגישה לרשת המקומית

כל אפליקציה שיש לה הרשאה INTERNET יכולה לגשת למכשירים ברשת המקומית. כך קל לאפליקציות להתחבר למכשירים מקומיים, אבל יש לכך גם השלכות על הפרטיות, כמו יצירת טביעת אצבע של המשתמש ושימוש ב-proxy למיקום.

מטרת הפרויקט Local Network Protections (הגנות על הרשת המקומית) היא להגן על פרטיות המשתמש באמצעות הגבלת הגישה לרשת המקומית מאחורי הרשאת זמן ריצה חדשה.

תוכנית ההשקה

השינוי הזה יוטמע בין שתי גרסאות, 25Q2 ו-26Q2 בהתאמה. חשוב מאוד שהמפתחים יפעלו לפי ההנחיות האלה ב-25Q2 וישתפו משוב, כי אמצעי ההגנה האלה יאכפו בגרסת Android מאוחרת יותר. בנוסף, הם יצטרכו לעדכן תרחישים שתלויים בגישה מרומזת לרשת מקומית באמצעות ההנחיות הבאות, ולהתכונן לדחייה של ההרשאה החדשה על ידי המשתמשים ולביטול שלה.

השפעה

בשלב הנוכחי, ניוד מספרים הוא תכונה אופציונלית, כלומר היא תשפיע רק על האפליקציות שהביעו הסכמה לשימוש בה. המטרה של שלב ההצטרפות היא לאפשר למפתחי אפליקציות להבין אילו חלקים באפליקציה שלהם תלויים בגישה משתמעת לרשת המקומית, כדי שיוכלו להתכונן להגנה על ההרשאות בגרסה הבאה.

האפליקציות יושפעו אם הן ניגשות לרשת המקומית של המשתמש באמצעות:

• שימוש ישיר או שימוש בספרייה בשקעים גולמיים בכתובות של רשת מקומית (למשל, פרוטוקול גילוי שירותים mDNS או SSDP)
• שימוש במחלקות ברמת המסגרת שיש להן גישה לרשת המקומית (למשל, NsdManager)

כדי להעביר תנועה אל כתובת ברשת מקומית וממנה, נדרשת הרשאת גישה לרשת המקומית. בטבלה הבאה מפורטים כמה מקרים נפוצים:

פעולה ברשת ברמה נמוכה באפליקציה	נדרשת הרשאת גישה לרשת המקומית
יצירת חיבור TCP יוצא	כן
אישור חיבורי TCP נכנסים	כן
שליחת שידור יחיד, שידור לקבוצה או שידור לכולם ב-UDP	כן
קבלת שידור יחיד, שידור מרובה או שידור לכל ברשת ב-UDP	כן

ההגבלות האלה מוטמעות עמוק במערך של רכיבי הרשת, ולכן הן חלות על כל ממשקי ה-API של הרשת. הנתונים כוללים שקעים שנוצרו בקוד מקורי או בקוד מנוהל, ספריות רשת כמו Cronet ו-OkHttp, וכל ממשקי API שהוטמעו מעל אלה. כדי לפתור בעיות בשירותים ברשת המקומית (כלומר, שירותים עם הסיומת ‎.local), צריך הרשאה לרשת המקומית.

הערה: תנועה שמקורה ב-Webview ב-Android שנדרשת לה גישה לרשת מקומית תירש את מצב ההרשאה מאפליקציית המארח

חריגים לכללים שלמעלה:

• אם שרת ה-DNS של המכשיר נמצא ברשת מקומית, לא נדרשת הרשאת גישה לרשת המקומית כדי להעביר תנועה אל השרת או ממנו (בפורט 53).
• אפליקציות שמשתמשות בבוחר הפלט כבוחר בתוך האפליקציה לא יצטרכו הרשאות גישה לרשת המקומית (הנחיות נוספות יפורסמו ברבעון הרביעי של 2025).

הערה: הרבה תרחישים של הפעלת Cast למדיה תלויים בגישה לרשת המקומית, ולכן השינוי הזה ישפיע עליהם. עם זאת, לא כל האפליקציות שמציעות שימוש ב-Cast יצטרכו לבקש את ההרשאה החדשה. במהלך הרבעון הרביעי של שנת 2025 נספק ממשקי API עתידיים והנחיות לטיפול בתרחישי קאסט.

הנחיות למפתחים (אופציונלי)

כדי להפעיל את ההגבלות על הגישה לרשת המקומית:

1. מבצעים פלאשינג למכשיר לגרסה עם 25Q2 Beta 3 ואילך.
2. מתקינים את האפליקציה שרוצים לבדוק.

3. מחליפים את מצב הדגל Appcompat ב-adb:

   adb shell am compat enable RESTRICT_LOCAL_NETWORK <package_name>
   

4. הפעלה מחדש של המכשיר

עכשיו הגישה של האפליקציה לרשת המקומית מוגבלת, וכל ניסיון לגשת לרשת המקומית יוביל לשגיאות בשקע. אם אתם משתמשים בממשקי API שמבצעים פעולות ברשת המקומית מחוץ לתהליך של האפליקציה (לדוגמה: NsdManager), הם לא יושפעו במהלך שלב ההצטרפות.

כדי לשחזר את הגישה, צריך לתת לאפליקציה הרשאה ל-NEARBY_WIFI_DEVICES.

1. מוודאים שהאפליקציה מצהירה על ההרשאה NEARBY_WIFI_DEVICES במניפסט שלה.
2. עוברים אל הגדרות > אפליקציות > [שם האפליקציה] > הרשאות > מכשירים בקרבת מקום > אישור.

הערה: בגרסת Android עתידית, התכונה הזו תהיה מוגנת על ידי הרשאה חדשה בקבוצת ההרשאות 'מכשירים בקרבת מקום'

עכשיו הגישה של האפליקציה לרשת המקומית אמורה לחזור, וכל התרחישים אמורים לפעול כמו לפני שהאפליקציה נכללה בהחרגה.

אחרי שהאכיפה של ההגנה על הרשת המקומית תתחיל, כך תושפע תנועת הרשת של האפליקציה.

הרשאה	בקשה יוצאת ב-LAN	בקשה יוצאת/נכנסת לאינטרנט	בקשה נכנסת ב-LAN
הוענקה	Microsoft Works	Microsoft Works	Microsoft Works
לא הוענקה גישה	פספוסים	Microsoft Works	פספוסים

כדי להשבית את הדגל App-Compat, משתמשים בפקודה הבאה

adb shell am compat disable RESTRICT_LOCAL_NETWORK <package_name>

שגיאות

שגיאות שנובעות מההגבלות האלה יוחזרו לשקע הקורא בכל פעם שהוא מפעיל שליחה או גרסה שונה של שליחה לכתובת ברשת המקומית.

דוגמאות לשגיאות:

sendto failed: EPERM (Operation not permitted)

sendto failed: ECONNABORTED (Operation not permitted)

הגדרה של רשת מקומית

רשת מקומית בפרויקט הזה היא רשת IP שמשתמשת בממשק רשת עם יכולת שידור, כמו Wi-Fi או Ethernet, אבל לא כוללת חיבורים סלולריים (WWAN) או חיבורי VPN.

הרשתות הבאות נחשבות לרשתות מקומיות:

‫IPv4:

• ‫169.254.0.0/16 // Link Local
• ‪100.64.0.0/10 // CGNAT
• ‫10.0.0.0/8 // RFC1918
• ‫172.16.0.0/12 // RFC1918
• ‫192.168.0.0/16 // RFC1918

IPv6:

• קישור מקומי
• מסלולים שמקושרים ישירות
• רשתות Stub כמו Thread
• Multiple-subnets (TBD)

בנוסף, גם כתובות מולטיקאסט (224.0.0.0/4, ff00::/8) וכתובת ה-IPv4 לשידור (255.255.255.255) מסווגות ככתובות של רשת מקומית.

תמונות בבעלות האפליקציה

כשמוצגת בקשה להענקת הרשאות גישה לתמונות ולסרטונים מאפליקציה שתואמת ל-SDK מגרסה 36 ואילך במכשירים עם Android מגרסה 16 ואילך, משתמשים שבוחרים להגביל את הגישה למדיה שנבחרה יראו את כל התמונות שבבעלות האפליקציה שנבחרו מראש בבורר התמונות. המשתמשים יכולים לבטל את הבחירה של כל אחד מהפריטים שנבחרו מראש, וכך לבטל את הגישה של האפליקציה לתמונות ולסרטונים האלה.