为什么 RASP 对移动应用至关重要

静态保护有一条硬边界。混淆和函数抽取都作用于安装包，可一旦应用跑起来，字节码要在 ART 里执行、密钥要在内存中出现。攻击者用 Frida attach 上来，就能 hook 任意方法、dump 内存、改写返回值。静态手段对运行期攻击无能为力，而这道缺口正是 RASP 的用武之地。

RASP 即运行时应用自我保护。它在应用进程内植入探针，在应用运行过程中持续自检环境。VALLUM 用 Abdal-DroidGuard 实现这一层，以 --all 参数注入，作为第五层，运行在包裹应用的 dpt-shell 壳之上。

具体来说，它盯防几类攻击：调试器（检查 ptrace 状态、TracerPid 和 JDWP）、Frida（扫描其 server 端口、gadget 库和 gum 特征）、Xposed（检测 hook 框架与桥接类）、root（su 文件与 Magisk 痕迹），以及二次打包（签名校验）。一旦命中，就能中止运行或降级处理，压缩动态攻击的时间窗口。

第一个代价是误报。真机环境千差万别——厂商 ROM、无障碍服务、正常的调试工具都可能触发某项检测，让无辜用户闪退。这正是 VALLUM 只把 RASP 放在 Maximum 档、并强烈建议上线前做大量真机测试的原因。

第二个代价是性能与 ABI 依赖。检测逻辑在启动和关键路径上反复执行，会带来 CPU 与启动耗时开销；同时 RASP 依赖 dpt 的壳和它的 native 库，缺失某个 ABI 就会连带崩溃。因此 RASP 不能孤立启用，必须搭载在完整的壳结构之上。

RASP 真正的价值在于把攻防从离线拉到在线。攻击者不再能一次性静态破解，而要在每一次运行中都对抗它。RASP 与静态层是互补而非替代——两者叠加，才是纵深防御的真正含义。