Apktool v3.0.3：资源解码维护更新与 APK 资源盘点

当天发生了什么

2026-07-20 10:37（UTC），Apktool 在 GitHub 发布 v3.0.3。这是一次维护版本，发布说明列出十项变更：修复「android:* not found」错误；支持零值 flags 的空值；优化 ResStringPool；为 YAML 增加合理性检查并为 ResConfig 增加 getter；测试改用 XPath；其余为 commons-io、Guava、xmlunit 以及 GitHub Actions 的依赖升级。说明中没有新增功能，重点集中在资源表与 XML 的解码和回编译的正确性上。

为什么与应用保护相关

这类维护更新很少引人注意，但它提醒了一个基本事实：APK 中的 AndroidManifest、resources.arsc、布局、字符串和 assets 都可以被成熟工具稳定地解码为可读形式。许多团队把注意力放在 DEX 代码混淆上，却在 strings.xml、raw 资源或 assets 中的配置文件里留下接口地址、功能开关、第三方密钥，甚至内部测试入口。资源名称的缩短或资源优化能减少语义提示，但不会让内容本身保密。对外描述保护范围时，也应说明哪些部分被混淆、哪些部分以原样随包分发。

对自己的 APK 做的检查

第一，对自己的发布版 APK 或由 AAB 生成的 APK 做资源盘点，搜索密钥格式、内部域名、调试开关和未上线功能的文案。第二，把需要保密的配置改为服务端下发并做访问控制，把只用于测试的资源和入口从 release 变体中移除，而不是依赖隐藏。第三，若构建流程中有资源混淆或签名后的二次处理，升级相关工具后在真机上验证安装、启动、多语言和深色模式资源加载，并核对最终签名是否符合预期。

行动清单

• 对发布版 APK 的资源与 assets 做敏感信息盘点
• 把测试入口与内部配置从 release 变体中移除
• 升级资源处理工具后在真机上验证加载与签名