拆开盒马驾到：3589 个文件里的 12 个真问题

做了什么

com.wudaokou.flyingfish「盒马驾到」v8.19.43，160MB / 3592 条目 / 4 个 dex，
apktool 解包 → jadx 反编译出 8624 个 .java，只做静态分析，不编造运行时结论。

硬发现

1. 权限 53 项，含拼写错误的 ACCESS_FIND_LOCATION、读通话记录、直接拨号、读系统日志
2. targetSdk 25（Android 7.1，2016 年的水平）
3. WebView 高危组合：setJavaScriptEnabled 出现在 18 个文件、addJavascriptInterface 5 个、
   还开了 setMixedContentMode 允许 HTTPS 页面加载 HTTP 内容
4. 超时设置一团乱：46 处读超时、45 处连接超时，可识别的 30 处取值分布很散，最大 60 秒
5. 33 个常驻服务：定位常开、蓝牙扫描、悬浮窗、心跳、开机自启
6. 明文 http:// 接口 + 硬编码 IP:端口

一个额外发现

改包之后登录报「网络异常」——追下去发现这句话不在原生资源里，
是 H5 页面自己弹的，说明请求发出去了、被服务端拒了：阿里无线保镖（native 库）
校验请求签名，改包必触发。

结论：改他人 APP 的包，签名校验是绕不过的墙（除非 root + hook，不值得）。
想做体验优化，正确姿势是把自己的工具做得好用。