שינויים בהתנהגות: אפליקציות שמטרגטות ל-Android מגרסה 16 ואילך

בדומה לגרסאות קודמות, Android 16 כולל שינויים בהתנהגות שעשויים להשפיע על האפליקציה שלכם. שינויי ההתנהגות הבאים רלוונטיים רק לאפליקציות שמטרגטות את Android 16 ואילך. אם האפליקציה שלכם מטרגטת את Android מגרסה 16 ואילך, אתם צריכים לשנות את האפליקציה כדי שהיא תתמוך בהתנהגויות האלה, במקרים הרלוונטיים.

חשוב גם לבדוק את רשימת השינויים בהתנהגות שמשפיעים על כל האפליקציות שפועלות ב-Android 16, בלי קשר ל-targetSdkVersion של האפליקציה.

חוויית המשתמש וממשק המשתמש של המערכת

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים, שנועדו ליצור חוויית משתמש עקבית ואינטואיטיבית יותר.

האפשרות להסיר את התצוגה מקצה לקצה תבוטל

Android 15 enforced edge-to-edge for apps targeting Android 15 (API level 35), but your app could opt-out by setting R.attr#windowOptOutEdgeToEdgeEnforcement to true. For apps targeting Android 16 (API level 36), R.attr#windowOptOutEdgeToEdgeEnforcement is deprecated and disabled, and your app can't opt-out of going edge-to-edge.

• If your app targets Android 16 (API level 36) and is running on an Android 15 device, R.attr#windowOptOutEdgeToEdgeEnforcement continues to work.
• If your app targets Android 16 (API level 36) and is running on an Android 16 device, R.attr#windowOptOutEdgeToEdgeEnforcement is disabled.

For testing in Android 16, ensure your app supports edge-to-edge and remove any use of R.attr#windowOptOutEdgeToEdgeEnforcement so that your app also supports edge-to-edge on an Android 15 device. To support edge-to-edge, see the Compose and Views guidance.

כדי להשתמש בתכונה "חיזוי החזרה", צריך לבצע העברה או לבטל את ההסכמה

באפליקציות שמטרגטות ל-Android 16 (רמת API‏ 36) ומעלה ופועלות במכשיר עם Android 16 ומעלה, מופעלות כברירת מחדל האנימציות של מערכת התחזיות לחזרה (חזרה למסך הבית, מעבר בין משימות ומעבר בין פעילויות). בנוסף, לא מתבצעת קריאה ל-onBackPressed ולא מתבצעת יותר שליחה של KeyEvent.KEYCODE_BACK.

אם האפליקציה שלכם מיירטת את אירוע החזרה ואתם עדיין לא עברתם לניווט חזוי אחורה, עדכנו את האפליקציה כדי להשתמש בממשקי API נתמכים של ניווט אחורה, או השביתו את התכונה באופן זמני על ידי הגדרת המאפיין android:enableOnBackInvokedCallback לערך false בתג <application> או <activity> של קובץ AndroidManifest.xml של האפליקציה.

הוצאה משימוש והשבתה של ממשקי API אלגנטיים לגופנים

Apps targeting Android 15 (API level 35) have the elegantTextHeight TextView attribute set to true by default, replacing the compact font with one that is much more readable. You could override this by setting the elegantTextHeight attribute to false.

Android 16 deprecates the elegantTextHeight attribute, and the attribute will be ignored once your app targets Android 16. The "UI fonts" controlled by these APIs are being discontinued, so you should adapt any layouts to ensure consistent and future proof text rendering in Arabic, Lao, Myanmar, Tamil, Gujarati, Kannada, Malayalam, Odia, Telugu or Thai.

פונקציונליות עיקרית

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים, שמשנים או מרחיבים יכולות ליבה שונות של מערכת Android.

אופטימיזציה של תזמון פעולה בקצב קבוע

לפני הטירגוט ל-Android 16, אם scheduleAtFixedRate החמיץ ביצוע של משימה כי הוא לא היה במחזור חיים תקין של תהליך, כל הביצועים שהוחמצו מתבצעים באופן מיידי כשהאפליקציה חוזרת למחזור חיים תקין.

כשמטרגטים ל-Android 16, פעולה אחת שהוחמצה של scheduleAtFixedRate תושלם באופן מיידי כשהאפליקציה תחזור למחזור חיים תקין. שינוי ההתנהגות הזה צפוי לשפר את ביצועי האפליקציה. כדאי לבדוק את ההתנהגות הזו באפליקציה כדי לראות אם היא מושפעת. אפשר גם לבדוק באמצעות מסגרת התאימות לאפליקציות ולהפעיל את הדגל STPE_SKIP_MULTIPLE_MISSED_PERIODIC_TASKS compat.

גורמי צורה של מכשירים

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים באפליקציות כשהן מוצגות במכשירים עם מסך גדול.

פריסות מותאמות

אפליקציות ל-Android פועלות עכשיו במגוון מכשירים (כמו טלפונים, טאבלטים, מכשירים מתקפלים, מחשבים, מכוניות וטלוויזיות) ובמצבי תצוגת חלונות במסכים גדולים (כמו מסך מפוצל וממשק מחשב). לכן, מפתחים צריכים ליצור אפליקציות ל-Android שמותאמות לכל גודל מסך וחלון, בלי קשר לכיוון המסך במכשיר. פרדיגמות כמו הגבלת כיוון המסך והגבלת שינוי הגודל כבר לא מתאימות לעולם של היום, שבו משתמשים במספר מכשירים.

התעלמות מהגבלות על כיוון, שינוי גודל ויחס גובה-רוחב

באפליקציות שמטרגטות ל-Android 16 (רמת API 36), ההגבלות על כיוון, שינוי גודל ויחס גובה-רוחב לא חלות יותר על מסכים עם רוחב מינימלי של 600dp ומעלה. האפליקציות ממלאות את חלון התצוגה, בלי קשר ליחס הגובה-רוחב או להעדפת הכיוון של המשתמש, ולא נעשה שימוש בבפורמט pillarbox.

השינוי הזה מציג התנהגות חדשה של הפלטפורמה. מערכת Android עוברת למודל שבו האפליקציות צריכות להתאים את עצמן לכיוונים, לגדלים של מסכים וליחסי גובה-רוחב שונים. כיוון מסך קבוע או שינוי גודל מוגבל מקשים על התאמת האפליקציה. כדי לספק את חוויית המשתמש הטובה ביותר, צריך להתאים את האפליקציה למצבים שונים.

אפשר גם לבדוק את ההתנהגות הזו באמצעות מסגרת התאימות של האפליקציה והפעלת דגל התאימות UNIVERSAL_RESIZABLE_BY_DEFAULT.

שינויי תוכנה נפוצים שעלולים לגרום לכשלים

התעלמות מהגבלות על כיוון, שינוי גודל ויחס גובה-רוחב עלולה להשפיע על ממשק המשתמש של האפליקציה במכשירים מסוימים, במיוחד על רכיבים שנועדו לפריסות קטנות שמוגבלות לכיוון לאורך: לדוגמה, בעיות כמו פריסות מתוחות ואנימציות ורכיבים מחוץ למסך. הנחות לגבי יחס הגובה-רוחב או הכיוון עלולות לגרום לבעיות חזותיות באפליקציה. מידע נוסף על איך להימנע מבעיות כאלה ולשפר את יכולת ההתאמה של האפליקציה למצבים שונים.

כשמאפשרים סיבוב מכשיר, מתבצעות יותר יצירות מחדש של פעילויות, וזה עלול להוביל לאובדן מצב המשתמש אם הוא לא נשמר כראוי. במאמר שמירת מצבי ממשק המשתמש מוסבר איך לשמור אותם נכון.

פרטי ההטמעה

במכשירים עם מסך גדול במצב מסך מלא ובמצב ריבוי חלונות, המערכת מתעלמת ממאפייני המניפסט וממשקי ה-API של זמן הריצה הבאים:

• screenOrientation
• resizableActivity
• minAspectRatio
• maxAspectRatio
• setRequestedOrientation()
• getRequestedOrientation()

המערכת מתעלמת מהערכים הבאים של screenOrientation,‏ setRequestedOrientation() ו-getRequestedOrientation():

• portrait
• reversePortrait
• sensorPortrait
• userPortrait
• landscape
• reverseLandscape
• sensorLandscape
• userLandscape

לגבי שינוי הגודל של התצוגה, הערכים הבאים לא מושפעים: android:resizeableActivity="false",‏ android:minAspectRatio ו-android:maxAspectRatio.

באפליקציות שמיועדות ל-Android 16 (‏API ברמה 36), המערכת מתעלמת כברירת מחדל מהגבלות על כיוון האפליקציה, שינוי הגודל ויחס הגובה-רוחב במסכים גדולים. אפשר לבטל את ההתנהגות הזו באופן זמני באפליקציות שעדיין לא מוכנות (וזה יגרום להצבה במצב תאימות, כמו בהתנהגות הקודמת).

חריגים

ההגבלות על כיוון, שינוי גודל ויחס גובה-רוחב ב-Android 16 לא חלות במצבים הבאים:

• משחקים (מבוססים על הדגל של android:appCategory)
• משתמשים שמביעים הסכמה מפורשת לפעולת ברירת המחדל של האפליקציה בהגדרות יחס הגובה-רוחב של המכשיר
• מסכים שקטנים מ-sw600dp

ביטול זמני של ההסכמה

כדי לבטל את ההסכמה למעקב אחרי פעילות ספציפית, צריך להצהיר על מאפיין המניפסט PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY:

<activity ...>
  <property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
  ...
</activity>

אם יותר מדי חלקים באפליקציה לא מוכנים ל-Android 16, אפשר לבטל את ההסכמה באופן מלא על ידי החלת אותו מאפיין ברמת האפליקציה:

<application ...>
  <property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
</application>

בריאות וכושר

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים שקשורים לנתוני בריאות וכושר.

הרשאות ל"בריאות וכושר"

באפליקציות שמטרגטות ל-Android 16 (רמת API 36) ומעלה, נעשה שימוש בהרשאות יותר מפורטות במסגרת BODY_SENSORS, שגם Health Connect משתמש בהן.android.permissions.health החל מ-Android 16, כל API שבעבר דרש את ההרשאות BODY_SENSORS או BODY_SENSORS_BACKGROUND דורש במקום זאת את ההרשאה התואמת android.permissions.health. השינוי הזה משפיע על סוגי הנתונים, ממשקי ה-API וסוגי השירותים שפועלים בחזית הבאים:

• HEART_RATE_BPM משירותי הבריאות ב-Wear OS
• ‫Sensor.TYPE_HEART_RATE מ-Android Sensor Manager
• ‫heartRateAccuracy ו-heartRateBpm מ-ProtoLayout ב-Wear OS
• ‫FOREGROUND_SERVICE_TYPE_HEALTH במקום BODY_SENSORS, כשנדרשת ההרשאה android.permission.health

אם האפליקציה שלכם משתמשת בממשקי ה-API האלה, היא צריכה לבקש את ההרשאות הגרנולריות המתאימות:

• כדי לעקוב אחרי נתוני קצב הלב, רמת החמצן בדם או טמפרטורת העור בזמן השימוש: צריך לבקש את ההרשאה המפורטת בקטע android.permissions.health, כמו READ_HEART_RATE במקום BODY_SENSORS.
• כדי לקבל גישה לחיישן ברקע: צריך לשלוח בקשה READ_HEALTH_DATA_IN_BACKGROUND במקום BODY_SENSORS_BACKGROUND.

ההרשאות האלה זהות להרשאות ששומרות על הגישה לקריאת נתונים מ-Health Connect, מאגר הנתונים של Android לנתוני בריאות, כושר ואיכות חיים.

באפליקציות לנייד.

אפליקציות לנייד שעוברות לשימוש ב-READ_HEART_RATE ובהרשאות גרנולריות אחרות צריכות גם להצהיר על פעילות כדי להציג את מדיניות הפרטיות של האפליקציה. זו אותה דרישה כמו ב-Health Connect.

קישוריות

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים במערך Bluetooth כדי לשפר את הקישוריות למכשירים היקפיים.

כוונה חדשה לטיפול באובדן של קשר ובשינויים בהצפנה

כחלק משיפור הטיפול באירועים של אובדן קישור, ב-Android 16 נוספו גם 2 כוונות חדשות כדי לספק לאפליקציות מודעוּת רבה יותר לאובדן קישור ולשינויים בהצפנה.

אפליקציות שמטרגטות את Android 16 יכולות עכשיו:

• לקבל כוונה מסוג ACTION_KEY_MISSING כשמתגלה אובדן של אבטחה מרחוק, כדי לספק משוב מפורט יותר מהמשתמשים ולבצע פעולות מתאימות.
• לקבל כוונה מסוג ACTION_ENCRYPTION_CHANGE בכל פעם שסטטוס ההצפנה של הקישור משתנה. זה כולל שינוי בסטטוס ההצפנה, שינוי באלגוריתם ההצפנה ושינוי בגודל מפתח ההצפנה. אפליקציות צריכות להתייחס לאיחוד כמשוחזר אם הקישור מוצפן בהצלחה לאחר קבלת הכוונה ACTION_ENCRYPTION_CHANGE.

התאמה להטמעות שונות של יצרני ציוד מקורי (OEM)

גרסת Android 16 כוללת את הכוונות החדשות האלה, אבל ההטמעה והשידור שלהן עשויים להשתנות בהתאם ליצרני המכשירים השונים (OEM). כדי לוודא שהאפליקציה מספקת חוויה עקבית ואמינה בכל המכשירים, המפתחים צריכים לתכנן את הטיפול באובדן הקשר כך שיתאים בצורה חלקה לשינויים הפוטנציאליים האלה.

מומלץ להשתמש בהתנהגויות הבאות באפליקציות:

• אם המערכת משדרת את הכוונה ACTION_KEY_MISSING:

  המערכת תנתק את הקישור של ACL (Asynchronous Connection-Less), אבל פרטי הקישור של המכשיר יישמרו (כפי שמתואר כאן).

  האפליקציה צריכה להשתמש בכוונה הזו כאות הראשי לזיהוי אובדן החיבור, ולהנחות את המשתמש לאשר שהמכשיר המרוחק נמצא בטווח לפני שהוא מתחיל למחוק את המכשיר או לבצע התאמה מחדש.

  אם מכשיר מתנתק אחרי קבלת ACTION_KEY_MISSING, האפליקציה צריכה להיזהר לפני שתנסה להתחבר מחדש, כי יכול להיות שהמכשיר כבר לא מקושר למערכת.

• אם הכוונה ACTION_KEY_MISSING לא משודרת:

  הקישור ל-ACL יישאר מחובר, ופרטי הקישור של המכשיר יוסרו על ידי המערכת, בדומה להתנהגות ב-Android 15.

  בתרחיש הזה, האפליקציה צריכה להמשיך להשתמש במנגנונים הקיימים לטיפול באובדן אבטחה, כמו בגרסאות קודמות של Android, כדי לזהות אירועי אובדן אבטחה ולנהל אותם.

דרך חדשה להסרת שיוך Bluetooth

כל האפליקציות שמטרגטות את Android 16 יכולות עכשיו לבטל את ההתאמה של מכשירי Bluetooth באמצעות API ציבורי ב-CompanionDeviceManager. אם מכשיר נלווה מנוהל כשיוך CDM, האפליקציה יכולה להפעיל הסרה של קישור Bluetooth באמצעות ה-API החדש removeBond(int) במכשיר המשויך. האפליקציה יכולה לעקוב אחרי השינויים במצב החיבור על ידי האזנה לאירוע השידור של מכשיר ה-Bluetooth ACTION_BOND_STATE_CHANGED.

אבטחה

‫Android 16 (‏API ברמה 36) כוללת את שינויי האבטחה הבאים.

נעילת גרסה של MediaStore

באפליקציות שמטרגטות ל-Android מגרסה 16 ואילך, הערך של MediaStore#getVersion() יהיה עכשיו ייחודי לכל אפליקציה. כך, מחריגים את המאפיינים המזהים ממחרוץ הגרסה כדי למנוע ניצול לרעה ושימוש בשיטות ליצירת טביעות אצבע. אפליקציות לא צריכות להניח דבר לגבי הפורמט של הגרסה הזו. האפליקציות כבר אמורות לטפל בשינויים בגרסאות כשמשתמשים ב-API הזה, וברוב המקרים לא צריך לשנות את ההתנהגות הנוכחית שלהן, אלא אם המפתח ניסה להסיק מידע נוסף מעבר להיקף המיועד של ה-API הזה.

כוונות בטוחות יותר

The Safer Intents feature is a multi-phase security initiative designed to improve the security of Android's intent resolution mechanism. The goal is to protect apps from malicious actions by adding checks during intent processing and filtering intents that don't meet specific criteria.

In Android 15 the feature focused on the sending app, now with Android 16, shifts control to the receiving app, allowing developers to opt-in to strict intent resolution using their app manifest.

Two key changes are being implemented:

1. Explicit Intents Must Match the Target Component's Intent Filter: If an intent explicitly targets a component, it should match that component's intent filter.

2. Intents Without an Action Cannot Match any Intent Filter: Intents that don't have an action specified shouldn't be resolved to any intent filter.

These changes only apply when multiple apps are involved and don't affect intent handling within a single app.

Impact

The opt-in nature means that developers must explicitly enable it in their app manifest for it to take effect. As a result, the feature's impact will be limited to apps whose developers:

• Are aware of the Safer Intents feature and its benefits.
• Actively choose to incorporate stricter intent handling practices into their apps.

This opt-in approach minimizes the risk of breaking existing apps that may rely on the current less-secure intent resolution behavior.

While the initial impact in Android 16 may be limited, the Safer Intents initiative has a roadmap for broader impact in future Android releases. The plan is to eventually make strict intent resolution the default behavior.

The Safer Intents feature has the potential to significantly enhance the security of the Android ecosystem by making it more difficult for malicious apps to exploit vulnerabilities in the intent resolution mechanism.

However, the transition to opt-out and mandatory enforcement must be carefully managed to address potential compatibility issues with existing apps.

Implementation

Developers need to explicitly enable stricter intent matching using the intentMatchingFlags attribute in their app manifest. Here is an example where the feature is opt-in for the entire app, but disabled/opt-out on a receiver:

<application android:intentMatchingFlags="enforceIntentFilter">
    <receiver android:name=".MyBroadcastReceiver" android:exported="true" android:intentMatchingFlags="none">
        <intent-filter>
            <action android:name="com.example.MY_CUSTOM_ACTION" />
        </intent-filter>
        <intent-filter>
            <action android:name="com.example.MY_ANOTHER_CUSTOM_ACTION" />
        </intent-filter>
    </receiver>
</application>

More on the supported flags:

Testing and Debugging

When the enforcement is active, apps should function correctly if the intent caller has properly populated the intent. However, blocked intents will trigger warning log messages like "Intent does not match component's intent filter:" and "Access blocked:" with the tag "PackageManager." This indicates a potential issue that could impact the app and requires attention.

Logcat filter:

tag=:PackageManager & (message:"Intent does not match component's intent filter:" | message: "Access blocked:")

סינון של קריאות מערכת ל-GPU

כדי להקשיח את פני השטח של Mali GPU, ‏ Mali GPU IOCTLs שהוצאו משימוש או שמיועדים אך ורק לפיתוח GPU נחסמו בגרסאות ייצור. בנוסף, פקודות IOCTL שמשמשות ליצירת פרופיל של GPU הוגבלו לתהליך של מעטפת או לאפליקציות שאפשר לבצע בהן ניפוי באגים. פרטים נוספים על המדיניות ברמת הפלטפורמה זמינים בעדכון בנושא SAC.

השינוי הזה מתבצע במכשירי Pixel שמשתמשים במעבד גרפי Mali (Pixel 6-9). חברת Arm סיפקה סיווג רשמי של פקודות ה-IOCTL שלה בDocumentation/ioctl-categories.rst של גרסה r54p2. הרשימה הזו תמשיך להתעדכן בגרסאות עתידיות של מנהלי ההתקנים.

השינוי הזה לא משפיע על ממשקי API נתמכים של גרפיקה (כולל Vulkan ו-OpenGL), ולא צפוי להשפיע על מפתחים או על אפליקציות קיימות. השינוי לא ישפיע על כלי פרופיל של GPU, כמו Streamline Performance Analyzer ו-Android GPU Inspector.

בדיקה

אם מופיעה לכם דחייה של SELinux שדומה לזו שמופיעה בהמשך, סביר להניח שהשינוי הזה השפיע על האפליקציה שלכם:

06-30 10:47:18.617 20360 20360 W roidJUnitRunner: type=1400 audit(0.0:85): avc:  denied  { ioctl }
for  path="/dev/mali0" dev="tmpfs" ino=1188 ioctlcmd=0x8023
scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:gpu_device:s0 tclass=chr_file
permissive=0 app=com.google.android.selinux.pts

אם האפליקציה שלכם צריכה להשתמש ב-IOCTLs חסומים, עליכם לדווח על באג ולהקצות אותו לכתובת android-partner-security@google.com.

שאלות נפוצות

1. האם השינוי הזה במדיניות חל על כל יצרני הציוד המקורי? השינוי הזה יהיה אופציונלי, אבל הוא יהיה זמין לכל יצרני הציוד המקורי שירצו להשתמש בשיטת האבטחה הזו. הוראות להטמעת השינוי מופיעות במסמכי ההטמעה.

2. האם חובה לבצע שינויים בבסיס הקוד של יצרן הציוד המקורי כדי להטמיע את התכונה הזו, או שהיא מגיעה עם גרסה חדשה של AOSP כברירת מחדל? השינוי ברמת הפלטפורמה יגיע עם גרסת AOSP חדשה כברירת מחדל. ספקים יכולים להחיל את השינוי הזה על בסיס הקוד שלהם אם הם רוצים.

3. האם מערכות SoC אחראיות לעדכון רשימת ה-IOCTL? לדוגמה, אם במכשיר שלי נעשה שימוש ב-GPU מסוג ARM Mali, האם אצטרך לפנות אל ARM כדי לבצע שינויים כלשהם? מערכות SoC נפרדות צריכות לעדכן את רשימות ה-IOCTL שלהן לכל מכשיר עם פרסום מנהל ההתקן. לדוגמה, ARM תעדכן את רשימת ה-IOCTL שפורסמה שלה אחרי עדכוני מנהלי התקנים. עם זאת, יצרני ציוד מקורי צריכים לוודא שהם משלבים את העדכונים ב-SEPolicy שלהם, ומוסיפים לרשימות את כל פקודות ה-IOCTL המותאמות אישית שנבחרו, לפי הצורך.

4. האם השינוי הזה חל באופן אוטומטי על כל מכשירי Pixel שזמינים למכירה, או שנדרשת פעולה של המשתמש כדי להפעיל משהו שיחיל את השינוי הזה? השינוי הזה חל על כל מכשירי Pixel שזמינים כרגע בשוק ומשתמשים במעבד גרפי Mali (מכשירי Pixel 6 עד Pixel 9). השינוי הזה לא דורש פעולה מצד המשתמשים.

5. האם השימוש במדיניות הזו ישפיע על הביצועים של מנהל ההתקן של ליבת מערכת ההפעלה? המדיניות הזו נבדקה ב-GPU מסוג Mali באמצעות GFXBench, ולא נצפה שינוי מדיד בביצועי ה-GPU.

6. האם רשימת ה-IOCTL צריכה להיות תואמת לגרסאות הנוכחיות של מרחב המשתמש ושל מנהל ההתקן של ליבת המערכת? כן, צריך לסנכרן את רשימת ה-IOCTL המותרים עם ה-IOCTL שנתמכים על ידי מנהלי ההתקנים של מרחב המשתמש ושל ליבת מערכת ההפעלה. אם פקודות ה-IOCTL במרחב המשתמש או במנהל ההתקן של ליבת המערכת מעודכנות, צריך לעדכן את רשימת פקודות ה-IOCTL של SEPolicy כך שתתאים להן.

7. ‫ARM סיווגה את פקודות ה-IOCTL כ 'מוגבלות' או כ'מכשירים', אבל אנחנו רוצים להשתמש בחלק מהן בתרחישי שימוש בייצור, ו/או לדחות אחרות. יצרני ציוד מקורי (OEM) ומערכות על שבב (SoC) אחראים להחליט איך לסווג את פקודות ה-IOCTL שבהן הם משתמשים, על סמך ההגדרה של ספריות Mali במרחב המשתמשים שלהם. אפשר להשתמש ברשימה של ARM כדי לקבל החלטות לגביהם, אבל יכול להיות שתרחישי השימוש של כל יצרן ציוד מקורי או SoC יהיו שונים.

פרטיות

‫Android 16 (‏API ברמה 36) כוללת את השינויים הבאים שקשורים לפרטיות.

הרשאה לגישה לרשת המקומית

Devices on the LAN can be accessed by any app that has the INTERNET permission. This makes it easy for apps to connect to local devices but it also has privacy implications such as forming a fingerprint of the user, and being a proxy for location.

The Local Network Protections project aims to protect the user's privacy by gating access to the local network behind a new runtime permission.

Release plan

This change will be deployed between two releases, 25Q2 and 26Q2 respectively. It is imperative that developers follow this guidance for 25Q2 and share feedback because these protections will be enforced at a later Android release. Moreover, they will need to update scenarios which depend on implicit local network access by using the following guidance and prepare for user rejection and revocation of the new permission.

Impact

At the current stage, LNP is an opt-in feature which means only the apps that opt in will be affected. The goal of the opt-in phase is for app developers to understand which parts of their app depend on implicit local network access such that they can prepare to permission guard them for the next release.

Apps will be affected if they access the user's local network using:

• Direct or library use of raw sockets on local network addresses (e.g. mDNS or SSDP service discovery protocol)
• Use of framework level classes that access the local network (e.g. NsdManager)

Traffic to and from a local network address requires local network access permission. The following table lists some common cases:

These restrictions are implemented deep in the networking stack, and thus they apply to all networking APIs. This includes sockets created in native or managed code, networking libraries like Cronet and OkHttp, and any APIs implemented on top of those. Trying to resolve services on the local network (i.e. those with a .local suffix) will require local network permission.

Exceptions to the rules above:

• If a device's DNS server is on a local network, traffic to or from it (at port 53) doesn't require local network access permission.
• Applications using Output Switcher as their in-app picker won't need local network permissions (more guidance to come in 2025Q4).

Developer Guidance (Opt-in)

To opt into local network restrictions, do the following:

1. Flash the device to a build with 25Q2 Beta 3 or later.
2. Install the app to be tested.

3. Toggle the Appcompat flag in adb:

   adb shell am compat enable RESTRICT_LOCAL_NETWORK <package_name>
   

4. Reboot The device

Now your app's access to the local network is restricted and any attempt to access the local network will lead to socket errors. If you are using APIs that perform local network operations outside of your app process (ex: NsdManager), they won't be impacted during the opt-in phase.

To restore access, you must grant your app permission to NEARBY_WIFI_DEVICES.

1. Ensure the app declares the NEARBY_WIFI_DEVICES permission in its manifest.
2. Go to Settings > Apps > [Application Name] > Permissions > Nearby devices > Allow.

Now your app's access to the local network should be restored and all your scenarios should work as they did prior to opting the app in.

Once enforcement for local network protection begins, here is how the app network traffic will be impacted.

Use the following command to toggle-off the App-Compat flag

adb shell am compat disable RESTRICT_LOCAL_NETWORK <package_name>

Errors

Errors arising from these restrictions will be returned to the calling socket whenever it invokes send or a send variant to a local network address.

Example errors:

sendto failed: EPERM (Operation not permitted)

sendto failed: ECONNABORTED (Operation not permitted)

Local Network Definition

A local network in this project refers to an IP network that utilizes a broadcast-capable network interface, such as Wi-Fi or Ethernet, but excludes cellular (WWAN) or VPN connections.

The following are considered local networks:

IPv4:

• 169.254.0.0/16 // Link Local
• 100.64.0.0/10 // CGNAT
• 10.0.0.0/8 // RFC1918
• 172.16.0.0/12 // RFC1918
• 192.168.0.0/16 // RFC1918

IPv6:

• Link-local
• Directly-connected routes
• Stub networks like Thread
• Multiple-subnets (TBD)

Additionally, both multicast addresses (224.0.0.0/4, ff00::/8) and the IPv4 broadcast address (255.255.255.255) are classified as local network addresses.

תמונות בבעלות האפליקציה

כשמוצגת בקשה להענקת הרשאות גישה לתמונות ולסרטונים מאפליקציה שתואמת ל-SDK מגרסה 36 ואילך במכשירים עם Android מגרסה 16 ואילך, משתמשים שבוחרים להגביל את הגישה למדיה שנבחרה יראו את כל התמונות שבבעלות האפליקציה שנבחרו מראש בבורר התמונות. המשתמשים יכולים לבטל את הבחירה של כל אחד מהפריטים שנבחרו מראש, וכך לבטל את הגישה של האפליקציה לתמונות ולסרטונים האלה.