安全 / 合规 / AppSec
安全初筛：先看清权限与外联，再决定深挖
把 APK 丢进包鉴，快速得到权限面、组件规模、Native 库线索与域名证据表——适合进正式扫描或人工审计前的静态初筛。
适合谁
安全工程师、合规评审、外包验收、内部上架把关
常见痛点
新包或第三方 SDK 包刚到手时，缺一份可转发的「包内长什么样」摘要，只能口头描述或临时手工解包。
你会得到什么
权限与组件面
Manifest 级权限、四大组件规模与导出面线索，便于判断是否值得上动态沙箱。
外联与库线索
字符串/配置中的域名样本与 Native 库清单，支撑威胁建模草稿。
可归档 PDF
产品 + 技术双报告 PDF，附 confidence，适合工单附件与复盘。
报告怎么读
产品报告侧重
能力边界、敏感权限诉求、明显云端依赖；不做漏洞利用步骤。
技术报告侧重
分层与 SO 样本、Evidence 表；无抓包不写死协议字段。
推荐流程
- 01
上传合法持有的 APK
按次预扣 1 次；失败退回。
- 02
阅读 Evidence
先看高 confidence 权限与域名，再决定是否深挖。
- 03
转发 PDF
把初筛结论附到安全工单或供应商评审。
明确不做
- 不替代渗透测试或漏洞扫描器
- 不提供脱壳、绕过授权或攻击脚本
- 不承诺覆盖运行时动态行为
常见问题
- 能当漏洞报告用吗？
- 不能。包鉴输出的是静态结构与证据文档，不是 CVE 级漏洞报告。
- 混淆包还有用吗？
- 仍有 Manifest、资源与部分字符串线索；深度混淆下 confidence 会更低，报告会如实标注。
用一次额度跑通这个场景
注册送 1 次。也可先打开示例报告，确认 PDF 交付形态。