27. 企业安全特性：工作资料、托管设备、安全策略下发
各位同学，今天我们来聊聊企业级安全。说实话，这部分内容在普通开发中很少用到，但一旦你进入大厂或者做企业定制项目，这就是绕不开的硬骨头。
我个人习惯把企业安全特性分成三个维度来看：数据隔离、设备管控、策略分发。这三者环环相扣，缺一不可。
27.1 工作资料（Work Profile）—— 手机里的“双面人生”
先问大家一个问题：如果你的公司要求你在个人手机上安装企业应用，但又不想让公司看到你的微信聊天记录，怎么办？
Android 给出的答案是——工作资料。
工作资料本质上是一个独立的用户空间。它和主用户共享同一个内核，但拥有独立的：
- 应用列表：工作资料里的应用，主用户看不到
- 存储空间：数据完全隔离，通过文件级加密实现
- 账户体系：可以配置独立的 Google 账号或企业账号
- 安全策略：比如强制锁屏、禁止截屏等
核心机制：工作资料通过 UserManager.createProfileForUser() 创建，类型为 PROFILE_MANAGED。系统会为它分配独立的 user ID，所有进程和文件都基于这个 ID 做隔离。
我在项目中遇到过这样一个坑：某厂商定制 ROM 里，工作资料的应用图标在启动器上显示异常。查了半天，发现是 Launcher 没有正确处理 FLAG_MANAGED_PROFILE 的 Intent 过滤。嗯，这种兼容性问题，在碎片化严重的 Android 生态里太常见了。
27.2 托管设备（Device Owner & Profile Owner）—— 谁说了算？
工作资料只是隔离，真正要管控设备，还得靠 Device Policy Manager (DPM)。
Android 企业版定义了两种角色：
| 角色 | 权限范围 | 典型场景 |
|---|---|---|
| Device Owner | 整个设备 | 公司配发的专用设备，比如扫码枪、POS 机 |
| Profile Owner | 仅工作资料 | 员工自带设备（BYOD），只管控工作区 |
设置 Device Owner 的方式很特殊：
// 通过 adb 命令激活（需要设备管理员权限）
adb shell dpm set-device-owner com.example.admin/.DeviceAdminReceiver
// 或者在设备初次设置时通过 NFC 配置
// 企业 MDM 方案通常用 QR 码或 NFC 标签完成注意：Device Owner 一旦激活，普通用户无法通过设置界面移除。只有通过 clearDeviceOwnerApp() 或恢复出厂设置才能解除。我曾经见过某公司 IT 管理员误操作，导致整批设备锁死——所以测试时一定要小心。
27.3 安全策略下发——MDM 的“指挥链”
有了工作资料和托管设备，接下来就是如何把安全策略推送到每一台设备上。这就是 MDM（移动设备管理） 的核心工作。
策略下发的典型流程是这样的：
- 注册：设备向 MDM 服务器注册，获取唯一标识
- 拉取策略：设备定期或通过推送通知，从服务器拉取最新的策略 JSON
- 应用策略：DPM 根据策略内容，调用对应的 API 执行
- 上报状态：设备将执行结果（成功/失败/异常）回传给服务器
常见的策略类型包括：
- 密码策略：最小长度、复杂度、过期时间
- 加密策略：强制开启文件级加密
- 应用管控：白名单/黑名单，禁止安装非企业应用
- 网络策略：VPN 配置、Wi-Fi 证书下发
- 合规检查：是否 root、是否开启开发者选项
我的经验：策略下发最怕的是“部分生效”。比如密码策略已经下发，但用户重启前不生效。我建议在策略下发后，主动调用 sync() 方法触发一次立即检查，而不是等系统定时轮询。
27.4 核心架构图：企业安全策略下发流程
下面这张图，我画了企业安全策略从服务器到设备落地的完整链路。你想想看，每一步都有安全校验，任何一个环节出问题，策略都可能失效。
27.5 避坑指南：我曾经踩过的三个坑
做企业安全特性开发，光看文档是不够的。我把自己踩过的坑分享出来，你们以后遇到了能少走弯路。
坑一：工作资料的应用安装失败
我曾经在某个项目里，工作资料的应用死活装不上。后来发现是 ManagedProvisioning 这个系统应用被厂商精简掉了。没有它，工作资料就是个空壳。解决方案：在 ROM 里预置该应用，或者通过 WorkProfileProvisioningHelper 手动触发。
坑二：策略下发后不生效
有一次我下发了一个“禁止安装未知来源应用”的策略，结果测试机照样能装 APK。查了半天，发现是策略的 targetUser 设置错了——我设成了 Device Owner，但测试机用的是 Profile Owner 模式。策略作用域不对，等于白设。
坑三：证书过期导致策略拉取失败
MDM 通信依赖 HTTPS 证书。某次客户反馈设备无法拉取策略，我远程一看，是设备本地时间被篡改，导致证书校验失败。后来我建议在策略拉取前，先通过 NTP 同步一次时间。这个改动虽然小，但救了不少设备。
27.6 小结
企业安全特性，说白了就是三个关键词：隔离、管控、分发。工作资料负责隔离，Device/Profile Owner 负责管控，MDM 负责分发。这三者配合好了，企业数据在个人设备上也能安全运行。
我个人觉得，这部分内容最考验的是对 Android 多用户模型的理解。如果你能把 UserHandle、UserManager、DevicePolicyManager 这三者的关系理清楚，企业安全开发就成功了一半。