EdXposed

定义

EdXposed 是运行于 Android 系统的一套钩子（hook）框架，通过 Riru 模块把代码注入系统进程，从而在不改动 APK 文件的情况下影响应用与系统行为^[1]。它的设计目标是提供与原版 Xposed 相同的 API，使既有模块可以继续使用^[1]。

与原版 Xposed 替换系统关键文件的做法不同，EdXposed 以 Magisk 模块方式安装，不直接改写系统分区，因此安装与卸载都比较容易^[4]。它支持 Android 8.0 至 11，随附的管理应用为 EdXposed Manager^[2]。

原理

Android 应用进程由 Zygote 进程孵化而来，Riru 模块的作用是在系统启动阶段把代码注入 Zygote，使注入的代码能够在随后创建的各个应用进程中执行^[1]。EdXposed 建立在这一注入能力之上，为模块提供与原版 Xposed 一致的编程接口^[2]。

在方法拦截层面，EdXposed 采用 YAHFA 或 SandHook 作为 hook 引擎，通过对 ART 运行时中的方法进行替换或内联拦截，改变目标方法的执行结果^[1]。模块代码可以借助 de.robv.android.xposed 系列 API 找到目标方法，并在方法执行前后插入自己的逻辑^[5]。

由于改动只作用于内存中的运行时状态，应用二进制文件本身并未被修改，禁用模块并重启设备即可恢复到原始状态^[6]。框架还提供「应用列表」模式，可以指定只对部分应用生效，未列入的应用在干净环境中运行^[3]。

发展历程

原版 Xposed 官方版本长期停留在 Android 8.0/8.1 的测试版，无法在 Android 9 及以上系统运行。2019 年，EdXposed 作为非官方的移植方案出现，最初面向 Android Pie，随后扩展到 Android 8.0 至 11^[7]。

2019 年 9 月，EdXposed 实现对 Android Q 的支持；2020 年 1 月，它与原版 Xposed 开发团队达成共识，成为 Xposed 停止更新后的接任者^[3]。此后其版本分为 Stable、Alpha、Canary 三条通道，分别对应稳定版、多次提交的测试版和由持续集成自动生成的调试版^[1]。

2020 年 5 月，EdXposed 的开源仓库被提交了带有恶意代码的改动，并经由自动构建下发到 Canary 通道；官方随后关闭了 EdXposed Manager 中该通道的显示与分发，并发布公告提醒不要安装非发行版本^[4]。到 2021 年之后，EdXposed 的代码库与管理器应用均不再有新的提交，项目转入停止维护状态^[2]。

应用

EdXposed 复用了原版 Xposed 的模块仓库，开发者只需把模块上传到该仓库，用户即可在框架中下载安装^[1]。基于 EdXposed 编写的模块与原版 Xposed 兼容，反之亦然，因此大量既有模块可以直接沿用^[1]。

在系统定制方面，它常被用于修改状态栏布局、调整导航手势、统一系统主题等场景；在应用层面，则可用于拦截广告加载接口、调整权限检查结果等^[5]。安全测试领域也借助这类框架完成动态分析，例如绕过 SSL pinning 校验、监控应用的关键 API 调用^[7]。

局限

EdXposed 的运行依赖 root 权限环境，需要先安装 Magisk 与 Riru，再部署框架本体及其管理器，安装门槛高于普通应用^[1]。Riru 较新的版本与 EdXposed 不兼容，安装时须选用匹配的版本组合^[2]。

框架自身的稳定性有限，部分模块启用后会出现设备无法开机或开机卡住的情况，官方文档也承认框架尚不够稳定^[1]。此外，它支持的 Android 版本止于 11，后续的 Android 版本由于 ART 运行时加固与接口变更，已不再被这一框架覆盖^[5]。

模块能力受制于目标方法的调用情况：如果目标逻辑所在的方法没有可拦截的调用点，hook 就难以生效；对应用整体进行大范围 hook 也可能带来明显性能开销甚至卡死^[8]。随着项目停止维护，新系统上的适配问题不再由官方解决。

参见

• Xposed —— EdXposed 所移植并保持 API 兼容的原版钩子框架。

• Magisk —— 提供 systemless 环境与模块机制，EdXposed 的安装基础。

• YAHFA —— EdXposed 可选的 ART 方法替换型 hook 引擎。

• SandHook —— EdXposed 可选的另一套 ART hook 引擎。

• LSPosed —— 基于 EdXposed 发展出的后续框架。

• Hook —— EdXposed 实现功能扩展所依赖的技术手段。