一份可执行的保护范围应回答什么
资产与路径
列出核心算法、协议、授权、资源、Native 逻辑和高价值业务路径，区分必须保护、需观察和可接受风险的部分。
客户端边界
围绕静态可读面、完整性、重打包与运行时干预定义可观察和可验证的信号，而非将客户端视为唯一信任根。
交付边界
把候选版本、签名、安装升级、关键路径、兼容范围、未覆盖项和回滚对象写进发布判断。
从风险讨论进入项目验证
代码与二进制保护、完整性治理和运行时防护可以相互补充，但不能替代服务端鉴权、风控规则、密钥管理或业务审计。对于登录、支付、授权和高价值接口，应由服务端根据账户、会话和业务行为做最终处置。
公开资料适合说明方法和证据口径；项目是否满足要求，仍需在冻结候选包、明确系统范围和关键业务路径后复核。一次反编译体验或单机启动都不足以代表完整的安全交付。
阅读边界：御盾可独立采购、接入和验收。实际项目应按其自身代码、二进制、运行时防护与发布安全范围进行评估。
相关资料
查看御盾 App 加固产品范围常见问题
App 加固是否等同于完整移动安全？
不是。加固覆盖客户端保护与发布工程中的一部分问题，仍应配合服务端权限、接口防护、监控、应急和业务规则。
为什么需要 PoC，而不是只看演示？
PoC 能把候选包、平台、关键业务路径、兼容范围与未覆盖项固定下来，让交付判断可复核、可回滚。