Modifiche al comportamento: app che hanno come target Android 16 o versioni successive

Come le release precedenti, Android 16 include modifiche al comportamento che potrebbero influire sulla tua app. Le seguenti modifiche al comportamento si applicano esclusivamente alle app che hanno come target Android 16 o versioni successive. Se la tua app ha come target Android 16 o versioni successive, devi modificarla per supportare questi comportamenti, ove applicabile.

Assicurati di esaminare anche l'elenco delle modifiche al comportamento che interessano tutte le app in esecuzione su Android 16, indipendentemente dal targetSdkVersion della tua app.

Esperienza utente e UI di sistema

Android 16 (livello API 36) include le seguenti modifiche volte a creare un'esperienza utente più coerente e intuitiva.

Rimozione della disattivazione della visualizzazione edge-to-edge

Android 15 enforced edge-to-edge for apps targeting Android 15 (API level 35), but your app could opt-out by setting R.attr#windowOptOutEdgeToEdgeEnforcement to true. For apps targeting Android 16 (API level 36), R.attr#windowOptOutEdgeToEdgeEnforcement is deprecated and disabled, and your app can't opt-out of going edge-to-edge.

• If your app targets Android 16 (API level 36) and is running on an Android 15 device, R.attr#windowOptOutEdgeToEdgeEnforcement continues to work.
• If your app targets Android 16 (API level 36) and is running on an Android 16 device, R.attr#windowOptOutEdgeToEdgeEnforcement is disabled.

For testing in Android 16, ensure your app supports edge-to-edge and remove any use of R.attr#windowOptOutEdgeToEdgeEnforcement so that your app also supports edge-to-edge on an Android 15 device. To support edge-to-edge, see the Compose and Views guidance.

Migrazione o disattivazione richieste per la funzionalità Indietro predittivo

For apps targeting Android 16 (API level 36) or higher and running on an Android 16 or higher device, the predictive back system animations (back-to-home, cross-task, and cross-activity) are enabled by default. Additionally, onBackPressed is not called and KeyEvent.KEYCODE_BACK is not dispatched anymore.

If your app intercepts the back event and you haven't migrated to predictive back yet, update your app to use supported back navigation APIs, or temporarily opt out by setting the android:enableOnBackInvokedCallback attribute to false in the <application> or <activity> tag of your app's AndroidManifest.xml file.

API Elegant Font deprecate e disabilitate

Le app che hanno come target Android 15 (livello API 35) hanno l'attributo elegantTextHeight TextView impostato su true per impostazione predefinita, sostituendo il carattere compatto con uno molto più leggibile. Puoi ignorare questa impostazione impostando l'attributo elegantTextHeight su false.

Android 16 ritira l'attributo elegantTextHeight e l'attributo verrà ignorato una volta che la tua app avrà come target Android 16. I "caratteri dell'interfaccia utente" controllati da queste API verranno ritirati, pertanto devi adattare tutti i layout per garantire il rendering del testo coerente e a prova di futuro in arabo, laotiano, birmano, tamil, gujarati, kannada, malayalam, odia, telugu o tailandese.

Funzionalità di base

Android 16 (livello API 36) include le seguenti modifiche che modificano o espandono varie funzionalità di base del sistema Android.

Ottimizzazione della pianificazione del lavoro a tariffa fissa

Prima di scegliere come target Android 16, quando scheduleAtFixedRate mancava un'esecuzione di attività perché non rientrava in un ciclo di vita del processo valido, tutte le esecuzioni mancate venivano eseguite immediatamente quando l'app tornava a un ciclo di vita valido.

Quando scegli come target Android 16, al massimo una esecuzione mancata di scheduleAtFixedRate viene eseguita immediatamente quando l'app torna a un ciclo di vita valido. Questa modifica del comportamento dovrebbe migliorare il rendimento dell'app. Testa questo comportamento nella tua app per verificare se è interessata. Puoi anche eseguire il test utilizzando il framework di compatibilità delle app e attivando il flag di compatibilità STPE_SKIP_MULTIPLE_MISSED_PERIODIC_TASKS.

Fattori di forma dei dispositivi

Android 16 (livello API 36) include le seguenti modifiche per le app quando vengono visualizzate su dispositivi con schermi di grandi dimensioni.

Layout adattivi

With Android apps now running on a variety of devices (such as phones, tablets, foldables, desktops, cars, and TVs) and windowing modes on large screens (such as split screen and desktop windowing), developers should build Android apps that adapt to any screen and window size, regardless of device orientation. Paradigms like restricting orientation and resizability are too restrictive in today's multidevice world.

Ignore orientation, resizability, and aspect ratio restrictions

For apps targeting Android 16 (API level 36), orientation, resizability, and aspect ratio restrictions no longer apply on displays with smallest width >= 600dp. Apps fill the entire display window, regardless of aspect ratio or a user's preferred orientation, and pillarboxing isn't used.

This change introduces a new standard platform behavior. Android is moving toward a model where apps are expected to adapt to various orientations, display sizes, and aspect ratios. Restrictions like fixed orientation or limited resizability hinder app adaptability. Make your app adaptive to deliver the best possible user experience.

You can also test this behavior by using the app compatibility framework and enabling the UNIVERSAL_RESIZABLE_BY_DEFAULT compat flag.

Common breaking changes

Ignoring orientation, resizability, and aspect ratio restrictions might impact your app's UI on some devices, especially elements that were designed for small layouts locked in portrait orientation: for example, issues like stretched layouts and off-screen animations and components. Any assumptions about aspect ratio or orientation can cause visual issues with your app. Learn more about how to avoid them and improve your app's adaptive behaviour.

Allowing device rotation results in more activity re-creation, which can result in losing user state if not properly preserved. Learn how to correctly save UI state in Save UI states.

Implementation details

The following manifest attributes and runtime APIs are ignored across large screen devices in full-screen and multi-window modes:

• screenOrientation
• resizableActivity
• minAspectRatio
• maxAspectRatio
• setRequestedOrientation()
• getRequestedOrientation()

The following values for screenOrientation, setRequestedOrientation(), and getRequestedOrientation() are ignored:

• portrait
• reversePortrait
• sensorPortrait
• userPortrait
• landscape
• reverseLandscape
• sensorLandscape
• userLandscape

Regarding display resizability, android:resizeableActivity="false", android:minAspectRatio, and android:maxAspectRatio have no effect.

For apps targeting Android 16 (API level 36), app orientation, resizability, and aspect ratio constraints are ignored on large screens by default, but every app that isn't fully ready can temporarily override this behavior by opting out (which results in the previous behavior of being placed in compatibility mode).

Exceptions

The Android 16 orientation, resizability, and aspect ratio restrictions don't apply in the following situations:

• Games (based on the android:appCategory flag)
• Users explicitly opting in to the app's default behavior in aspect ratio settings of the device
• Screens that are smaller than sw600dp

Opt out temporarily

To opt out a specific activity, declare the PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY manifest property:

<activity ...>
  <property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
  ...
</activity>

If too many parts of your app aren't ready for Android 16, you can opt out completely by applying the same property at the application level:

<application ...>
  <property android:name="android.window.PROPERTY_COMPAT_ALLOW_RESTRICTED_RESIZABILITY" android:value="true" />
</application>

Salute e fitness

Android 16 (livello API 36) include le seguenti modifiche relative ai dati di salute e fitness.

Autorizzazioni per salute e fitness

Per le app che hanno come target Android 16 (livello API 36) o versioni successive, le autorizzazioni BODY_SENSORS utilizzano autorizzazioni più granulari in android.permissions.health, che vengono utilizzate anche da Connessione Salute. A partire da Android 16, qualsiasi API che in precedenza richiedeva BODY_SENSORS o BODY_SENSORS_BACKGROUND richiede invece l'autorizzazione android.permissions.health corrispondente. Ciò influisce sui seguenti tipi di dati, API e tipi di servizi in primo piano:

• HEART_RATE_BPM da Servizi per la salute su Wear OS
• Sensor.TYPE_HEART_RATE da Android Sensor Manager
• heartRateAccuracy e heartRateBpm da ProtoLayout su Wear OS
• FOREGROUND_SERVICE_TYPE_HEALTH dove è necessaria l'autorizzazione android.permission.health al posto di BODY_SENSORS

Se la tua app utilizza queste API, deve richiedere le rispettive autorizzazioni granulari:

• Per il monitoraggio durante l'utilizzo di battito cardiaco, SpO2 o temperatura cutanea: richiedi l'autorizzazione granulare in android.permissions.health, ad esempio READ_HEART_RATE anziché BODY_SENSORS.
• Per l'accesso ai sensori in background, richiedi READ_HEALTH_DATA_IN_BACKGROUND anziché BODY_SENSORS_BACKGROUND.

Queste autorizzazioni sono le stesse che proteggono l'accesso alla lettura dei dati da Connessione Salute, l'archivio dati Android per i dati relativi a salute, fitness e benessere.

App mobili

Le app mobile che eseguono la migrazione per utilizzare READ_HEART_RATE e altre autorizzazioni granulari devono anche dichiarare un'attività per visualizzare le norme sulla privacy dell'app. Questo è lo stesso requisito di Connessione Salute.

Connettività

Android 16 (livello API 36) include le seguenti modifiche nello stack Bluetooth per migliorare la connettività con i dispositivi periferici.

Nuovi intent per gestire la perdita dell'associazione e le modifiche alla crittografia

As part of the Improved bond loss handling, Android 16 also introduces 2 new intents to provide apps with greater awareness of bond loss and encryption changes.

Apps targeting Android 16 can now:

• Receive an ACTION_KEY_MISSING intent when remote bond loss is detected, allowing them to provide more informative user feedback and take appropriate actions.
• Receive an ACTION_ENCRYPTION_CHANGE intent whenever encryption status of the link changes. This includes encryption status change, encryption algorithm change, and encryption key size change. Apps must consider the bond restored if the link is successfully encrypted upon receiving ACTION_ENCRYPTION_CHANGE intent later.

Adapting to varying OEM implementations

While Android 16 introduces these new intents, their implementation and broadcasting can vary across different device manufacturers (OEMs). To ensure your app provides a consistent and reliable experience across all devices, developers should design their bond loss handling to gracefully adapt to these potential variations.

We recommend the following app behaviors:

• If the ACTION_KEY_MISSING intent is broadcast:

  The ACL (Asynchronous Connection-Less) link will be disconnected by the system, but the bond information for the device will be retained (as described here).

  Your app should use this intent as the primary signal for bond loss detection and guiding the user to confirm the remote device is in range before initiating device forgetting or re-pairing.

  If a device disconnects after ACTION_KEY_MISSING is received, your app should be cautious about reconnecting, as the device may no longer be bonded with the system.

• If the ACTION_KEY_MISSING intent is NOT broadcast:

  The ACL link will remain connected, and the bond information for the device will be removed by the system, same to behavior in Android 15.

  In this scenario, your app should continue its existing bond loss handling mechanisms as in previous Android releases, to detect and manage bond loss events.

Nuovo modo per rimuovere l'associazione Bluetooth

All apps targeting Android 16 are now able to unpair bluetooth devices using a public API in CompanionDeviceManager. If a companion device is being managed as a CDM association, then the app can trigger bluetooth bond removal by using the new removeBond(int) API on the associated device. The app can monitor the bond state changes by listening to the bluetooth device broadcast event ACTION_BOND_STATE_CHANGED.

Sicurezza

Android 16 (livello API 36) include le seguenti modifiche alla sicurezza.

Blocco della versione di MediaStore

For apps targeting Android 16 or higher, MediaStore#getVersion() will now be unique to each app. This eliminates identifying properties from the version string to prevent abuse and usage for fingerprinting techniques. Apps shouldn't make any assumptions around the format of this version. Apps should already handle version changes when using this API and in most cases shouldn't need to change their current behavior, unless the developer has attempted to infer additional information that is beyond the intended scope of this API.

Intent più sicuri

The Safer Intents feature is a multi-phase security initiative designed to improve the security of Android's intent resolution mechanism. The goal is to protect apps from malicious actions by adding checks during intent processing and filtering intents that don't meet specific criteria.

In Android 15 the feature focused on the sending app, now with Android 16, shifts control to the receiving app, allowing developers to opt-in to strict intent resolution using their app manifest.

Two key changes are being implemented:

1. Explicit Intents Must Match the Target Component's Intent Filter: If an intent explicitly targets a component, it should match that component's intent filter.

2. Intents Without an Action Cannot Match any Intent Filter: Intents that don't have an action specified shouldn't be resolved to any intent filter.

These changes only apply when multiple apps are involved and don't affect intent handling within a single app.

Impact

The opt-in nature means that developers must explicitly enable it in their app manifest for it to take effect. As a result, the feature's impact will be limited to apps whose developers:

• Are aware of the Safer Intents feature and its benefits.
• Actively choose to incorporate stricter intent handling practices into their apps.

This opt-in approach minimizes the risk of breaking existing apps that may rely on the current less-secure intent resolution behavior.

While the initial impact in Android 16 may be limited, the Safer Intents initiative has a roadmap for broader impact in future Android releases. The plan is to eventually make strict intent resolution the default behavior.

The Safer Intents feature has the potential to significantly enhance the security of the Android ecosystem by making it more difficult for malicious apps to exploit vulnerabilities in the intent resolution mechanism.

However, the transition to opt-out and mandatory enforcement must be carefully managed to address potential compatibility issues with existing apps.

Implementation

Developers need to explicitly enable stricter intent matching using the intentMatchingFlags attribute in their app manifest. Here is an example where the feature is opt-in for the entire app, but disabled/opt-out on a receiver:

<application android:intentMatchingFlags="enforceIntentFilter">
    <receiver android:name=".MyBroadcastReceiver" android:exported="true" android:intentMatchingFlags="none">
        <intent-filter>
            <action android:name="com.example.MY_CUSTOM_ACTION" />
        </intent-filter>
        <intent-filter>
            <action android:name="com.example.MY_ANOTHER_CUSTOM_ACTION" />
        </intent-filter>
    </receiver>
</application>

More on the supported flags:

Testing and Debugging

When the enforcement is active, apps should function correctly if the intent caller has properly populated the intent. However, blocked intents will trigger warning log messages like "Intent does not match component's intent filter:" and "Access blocked:" with the tag "PackageManager." This indicates a potential issue that could impact the app and requires attention.

Logcat filter:

tag=:PackageManager & (message:"Intent does not match component's intent filter:" | message: "Access blocked:")

Filtro delle chiamate di sistema della GPU

Per rafforzare la superficie della GPU Mali, le IOCTL della GPU Mali che sono state ritirate o sono destinate esclusivamente allo sviluppo della GPU sono state bloccate nelle build di produzione. Inoltre, gli IOCTL utilizzati per la profilazione della GPU sono stati limitati al processo shell o alle applicazioni sottoponibili a debug. Per ulteriori dettagli sulle norme a livello di piattaforma, consulta l'aggiornamento SAC.

Questa modifica viene implementata sui dispositivi Pixel che utilizzano la GPU Mali (Pixel 6-9). Arm ha fornito la classificazione ufficiale dei propri IOCTL in Documentation/ioctl-categories.rst della release r54p2. Questo elenco continuerà a essere aggiornato nelle future release dei driver.

Questa modifica non influisce sulle API grafiche supportate (tra cui Vulkan e OpenGL) e non dovrebbe avere alcun impatto sugli sviluppatori o sulle applicazioni esistenti. Gli strumenti di profilazione della GPU, come Streamline Performance Analyzer e Android GPU Inspector, non saranno interessati.

Test

Se visualizzi un errore SELinux simile al seguente, è probabile che la tua applicazione sia stata interessata da questa modifica:

06-30 10:47:18.617 20360 20360 W roidJUnitRunner: type=1400 audit(0.0:85): avc:  denied  { ioctl }
for  path="/dev/mali0" dev="tmpfs" ino=1188 ioctlcmd=0x8023
scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:gpu_device:s0 tclass=chr_file
permissive=0 app=com.google.android.selinux.pts

Se la tua applicazione deve utilizzare IOCTL bloccati, invia una segnalazione di bug e assegnala a android-partner-security@google.com.

Domande frequenti

1. Questa modifica delle norme si applica a tutti gli OEM? Questa modifica sarà facoltativa, ma disponibile per tutti gli OEM che desiderano utilizzare questo metodo di protezione. Le istruzioni per l'implementazione della modifica sono disponibili nella documentazione sull'implementazione.

2. Per implementare questa funzionalità è obbligatorio apportare modifiche al codebase OEM o è inclusa per impostazione predefinita in una nuova release AOSP? La modifica a livello di piattaforma verrà fornita con una nuova release AOSP per impostazione predefinita. I fornitori possono attivare questa modifica nel proprio codebase se vogliono applicarla.

3. I SoC sono responsabili dell'aggiornamento dell'elenco IOCTL? Ad esempio, se il mio dispositivo utilizza una GPU ARM Mali, devo contattare ARM per apportare modifiche? I SoC individuali devono aggiornare gli elenchi IOCTL per dispositivo al momento del rilascio del driver. Ad esempio, ARM aggiornerà l'elenco IOCTL pubblicato in seguito agli aggiornamenti dei driver. Tuttavia, gli OEM devono assicurarsi di incorporare gli aggiornamenti nella SEPolicy e aggiungere gli IOCTL personalizzati selezionati agli elenchi in base alle esigenze.

4. Questa modifica viene applicata automaticamente a tutti i Pixel in commercio o è necessaria un'azione dell'utente per attivare un'impostazione e applicare la modifica? Questa modifica si applica a tutti i dispositivi Pixel in commercio che utilizzano la GPU Mali (Pixel 6-9). Per applicare questa modifica non è richiesta alcuna azione da parte dell'utente.

5. L'utilizzo di questo criterio influirà sulle prestazioni del driver del kernel? Questo criterio è stato testato sulla GPU Mali utilizzando GFXBench e non è stata osservata alcuna variazione misurabile delle prestazioni della GPU.

6. È necessario che l'elenco IOCTL sia allineato alle versioni correnti dello spazio utente e del driver del kernel? Sì, l'elenco degli IOCTL consentiti deve essere sincronizzato con gli IOCTL supportati dai driver userspace e kernel. Se gli IOCTL nello spazio utente o nel driver del kernel vengono aggiornati, l'elenco IOCTL SEPolicy deve essere aggiornato di conseguenza.

7. ARM ha classificato gli IOCTL come "con limitazioni" o "strumentazione", ma vogliamo utilizzarne alcuni nei casi d'uso di produzione e/o negarne altri. I singoli OEM/SoC sono responsabili della decisione su come classificare le IOCTL che utilizzano, in base alla configurazione delle librerie Mali userspace. L'elenco di ARM può essere utilizzato per decidere quali utilizzare, ma i casi d'uso di ogni OEM/SoC possono essere diversi.

Privacy

Android 16 (livello API 36) include le seguenti modifiche alla privacy.

Autorizzazione di accesso alla rete locale

I dispositivi sulla LAN sono accessibili a qualsiasi app con l'autorizzazione INTERNET. In questo modo, le app possono connettersi facilmente ai dispositivi locali, ma ciò ha anche implicazioni per la privacy, ad esempio la creazione di un'impronta dell'utente e la funzione di proxy per la posizione.

Il progetto Protezioni rete locale mira a proteggere la privacy dell'utente limitando l'accesso alla rete locale tramite una nuova autorizzazione di runtime.

Piano di rilascio

Questa modifica verrà implementata tra due versioni, 25Q2 e 26Q2 rispettivamente. È fondamentale che gli sviluppatori seguano queste indicazioni per il 25Q2 e condividano feedback perché queste protezioni verranno applicate in una release Android successiva. Inoltre, dovranno aggiornare gli scenari che dipendono dall'accesso implicito alla rete locale seguendo le indicazioni riportate di seguito e prepararsi al rifiuto e alla revoca dell'autorizzazione da parte dell'utente.

Impatto

Nella fase attuale, il trasferimento della numerazione è una funzionalità di attivazione, il che significa che saranno interessate solo le app che la attivano. Lo scopo della fase di attivazione è consentire agli sviluppatori di app di comprendere quali parti della loro app dipendono dall'accesso implicito alla rete locale in modo da prepararsi a proteggerle con le autorizzazioni per la prossima release.

Le app saranno interessate se accedono alla rete locale dell'utente utilizzando:

• Utilizzo diretto o di libreria di socket non elaborati su indirizzi di rete locali (ad es. protocollo di rilevamento del servizio mDNS o SSDP)
• Utilizzo di classi a livello di framework che accedono alla rete locale (ad es. NsdManager)

Il traffico verso e da un indirizzo di rete locale richiede l'autorizzazione di accesso alla rete locale. La seguente tabella elenca alcuni casi comuni:

Queste limitazioni sono implementate in profondità nello stack di rete, e quindi si applicano a tutte le API di rete. Ciò include i socket creati in codice nativo o gestito, le librerie di rete come Cronet e OkHttp e qualsiasi API implementata sopra queste. Il tentativo di risolvere i servizi sulla rete locale (ovvero quelli con suffisso .local) richiederà l'autorizzazione di rete locale.

Eccezioni alle regole riportate sopra:

• Se il server DNS di un dispositivo si trova su una rete locale, il traffico da o verso il dispositivo (sulla porta 53) non richiede l'autorizzazione di accesso alla rete locale.
• Le applicazioni che utilizzano Output Switcher come selettore in-app non avranno bisogno di autorizzazioni di rete locale (ulteriori indicazioni verranno fornite nel quarto trimestre del 2025).

Indicazioni per gli sviluppatori (attivazione)

Per attivare le limitazioni di accesso alla rete locale:

1. Esegui il flash del dispositivo con una build con 25Q2 Beta 3 o versioni successive.
2. Installa l'app da testare.

3. Attiva/disattiva il flag Appcompat in adb:

   adb shell am compat enable RESTRICT_LOCAL_NETWORK <package_name>
   

4. Riavviare il dispositivo

Ora l'accesso dell'app alla rete locale è limitato e qualsiasi tentativo di accedere alla rete locale genererà errori di socket. Se utilizzi API che eseguono operazioni di rete locale al di fuori del processo dell'app (ad es. NsdManager), non saranno interessate durante la fase di attivazione.

Per ripristinare l'accesso, devi concedere all'app l'autorizzazione a NEARBY_WIFI_DEVICES.

1. Assicurati che l'app dichiari l'autorizzazione NEARBY_WIFI_DEVICES nel file manifest.
2. Vai a Impostazioni > App > [Nome applicazione] > Autorizzazioni > Dispositivi nelle vicinanze > Consenti.

Ora l'accesso dell'app alla rete locale dovrebbe essere ripristinato e tutti gli scenari dovrebbero funzionare come prima dell'attivazione dell'app.

Una volta iniziato l'applicazione della protezione della rete locale, ecco come verrà interessato il traffico di rete dell'app.

Utilizza il seguente comando per disattivare il flag App-Compat

adb shell am compat disable RESTRICT_LOCAL_NETWORK <package_name>

Errori

Gli errori derivanti da queste limitazioni verranno restituiti al socket chiamante ogni volta che richiama send o una variante di send a un indirizzo di rete locale.

Esempi di errori:

sendto failed: EPERM (Operation not permitted)

sendto failed: ECONNABORTED (Operation not permitted)

Definizione di rete locale

Una rete locale in questo progetto si riferisce a una rete IP che utilizza un'interfaccia di rete in grado di trasmettere, ad esempio Wi-Fi o Ethernet, ma esclude le connessioni cellulari (WWAN) o VPN.

Le seguenti sono considerate reti locali:

IPv4:

• 169.254.0.0/16 // Link Local
• 100.64.0.0/10 // CGNAT
• 10.0.0.0/8 // RFC1918
• 172.16.0.0/12 // RFC1918
• 192.168.0.0/16 // RFC1918

IPv6:

• Link-local
• Route connesse direttamente
• Reti stub come Thread
• Più subnet (da definire)

Inoltre, sia gli indirizzi multicast (224.0.0.0/4, ff00::/8) sia l'indirizzo di broadcast IPv4 (255.255.255.255) sono classificati come indirizzi di rete locali.

Foto di proprietà dell'app

Quando un'app che ha come target l'SDK 36 o versioni successive richiede le autorizzazioni per foto e video su dispositivi con Android 16 o versioni successive, gli utenti che scelgono di limitare l'accesso ai contenuti multimediali selezionati vedranno le foto di proprietà dell'app preselezionate nel selettore di foto. Gli utenti possono deselezionare uno di questi elementi preselezionati, revocando così l'accesso dell'app a foto e video.