安卓设备环境检测项有哪些
本篇把安卓设备环境检测工具常查的东西归成几类讲清楚：从 su 文件到硬件证明链，每一类对应设备底层的一处「是否被动过」。知道查什么，才看得懂检测报告；怎么看报告、怎么处置，见Magisk 隐藏后怎么验证是否生效。
一、Root 文件与 su 二进制
最经典的一类检测：深扫 /system、/data 等系统目录，找 su 二进制和 root 方案留下的文件路径。Magisk、SuperSU、KingRoot 这些主流方案各有各的落盘位置，扫到哪个就报哪个。
和它配套的还有 su 通道检测——不光看文件在不在，还核对 su 连接通道的可用与阻断情况，判断提权链路是不是真的被藏干净了。
二、框架痕迹
Xposed、LSPosed 这类模块化框架会在系统里留下加载痕迹。检测工具会识别框架本身，并列出已安装的模块。真机检测样例里，报告展开后能看到 lSPosed 的命中记录，就是这一层抓出来的。
三、模拟器与云手机识别
通过硬件参数的矛盾性、传感器表现、系统属性交叉验证，判断设备是否跑在模拟器、云手机或改机环境里。比如 IMEI、MAC 地址与系统属性对不上号，就值得怀疑。
四、Bootloader 与 ROM 校验
检查引导加载是否解锁、机型 ROM 是否被改动。原厂签名对不上的设备，在这类检测里亮红是意料之中。
五、设备指纹核对
Java 层和 Native 层各取一份设备指纹做交叉比对，抓出被篡改的构建标识。改机工具改得再像，两层指纹对不齐也会露馅。
六、硬件证明链
这一类查的是硬件级证明服务：Attestation、AndroidKeyStore 是否支持、是否被破坏；有的工具还接入了 SOTER 与 IFAA 指纹检测（Hunter 从 v6.65 起加入）。这类服务是不少金融类应用风控的底层依据，它们坏了或者不在，整体判定就会往下掉。
七、内存与内核侧
包括 rwx 内存条目扫描、内核信息读取，以及服务绑定日志的分项查看（内存、用户行为、多线程服务事件等）。这一层能发现更隐蔽的注入和挂钩行为。
检出之后怎么办
每类检测项对应不同的处置路径：进程服务干扰就关服务，文件残留就清理，环境特征（模拟器、指纹被改）就得换环境或恢复原厂镜像。逐项对照、逐项处理，是读检测报告唯一靠谱的姿势。
想按这套检测项实际跑一遍，可以在 Hunter 检测工具说明站看真机报告样例与安装入口。