讨论一下，在安卓开发中，有哪些 api 可以用来辅助判断是否是一个真实的正常用户？

[lw10645]

比如是否开启了 adb ？是否是 debug 模式？是否携带 sim 卡？

还有没有其他 api 能用以辅助判断的

哈哈哈，不是要防住黑灰产，只是想筛选掉一部分风险比较高的买量用户，而且这些是用来做辅助判断的，并不完全依靠这些

[derdct]

xp 以前喜欢用错误栈找关键词, root 一般是调用以下 su 看看, 一般 xp/root 都不是什么正常用户 (相对而言, 风险高)

[Charon2050]

球球你们别判断了😭我就 Root 一下玩玩 Xposed 模块，结果银行不让我登录，12123 不让我登录，就连支付宝都不让我指纹支付了

[lw10645]

@Charon2050 哈哈哈哈，正常的风控手段

[lw10645]

@derdct 这个感觉有时候拿的值不准确

[Hozoy]

可以参考一下这个的实现方式： https://github.com/byxiaorun/Ruru/tree/new

[RightHand]

你一个普通用户去判断 root 用户？猫捉老鼠游戏而已

[ziseyinzi]

论坛一两句话能说清的手段，都只能防住普通用户，防不住灰产

[lw10645]

@ziseyinzi 肯定是只能防住一部分了，毕竟道高一尺魔高一丈，总有漏洞的

[GotKiCry]

都是防普通用户。做灰产或者是反编译的都会针对检测点去过验证

[Jirajine]

能让你轻松检测到 root 之类的，你这样判断出来的都是真实的正常用户。
而真正的黑灰产用 genius 的设备群控组 device farm ，你检测什么都是 genius 的。

[danbai]

做行为分析，例如一个操作做下来一个红点没点的 每次都只做同样的事情

[danbai]

把操作数据化 后台收集 分析处理。

[jeesk]

@danbai 赞同大佬说的。

开启遥测， 用户的页面停留时间， 按钮点击次数， 这些数据即使伪造也有蛛丝马迹。

[jeesk]

还有广告反作弊技术， 自动揪出异常用户流量。

[MossFox]

现成的 api 总归帮助有限，不然一堆大厂就不至于要在需要风控的请求跑签名塞校验位了。就签名也不能完全防住灰产，还是需要别的组合拳一起上。

[akira]

啥 api 都是有办法绕过的。。。最好的办法就是行为分析，并且最好不要当场处理。

[zeusho871]

有个软件叫 momo ，安卓最强环境检测

[iminto]

@RightHand

普通用户可以抓 root 用户。

[murmur]

人脸识别，只能用这个了

[liyafe1997]

@Charon2050 你还在用 Magisk ？现在是 KernelSU/Apatch 的时代了，理论上不可能能检测出来

[yankebupt]

@lw10645 sim 卡据说可以用流量上网直接用运营商 api(收费）获取手机号，和本机 api 获取的对比
没有流量的要短信权限然后直接读短信验证码
debug 和 adb……如果是灰产那系统都是定制的，靠 api 估计不靠谱，不过也有些灰产图省钱自动化用的是 accessibility API ，蓝牙控制指针或辅助指针设备，好像有 api 判断 accessibility 开没开。

[yankebupt]

@lw10645 针对热门高防软件的灰产都是带卡手机的，原装系统，物理电容机器手+摄像头自动化，那个只能抓地理位置密集度了。

[yankebupt]

你可以添加一些必要双指操作，比如 pinch zoom rotate,逼灰产换设备或改程序，然后尝试发现异常，另类玩法，不知道应不应该推荐