run-as
唯讀以某個 app 自己的 uid 執行指令——這是不用 root 讀取可除錯版本私有檔案的方法。
- 指令
- adb shell run-as
- 指令
- 系統與紀錄
- 風險
- 唯讀
語法
run-as <package> <command> [<args>]旗標與參數
| token | 意義 |
|---|---|
| <package> | 要借用身分的 app。它必須已安裝，而且在資訊清單裡宣告為可除錯。 |
| --user <id> | 要變成哪一個 Android 使用者底下的那份套件。不給的話輔助程式會用呼叫者的使用者，隔著一般的線就是主要那個；當同一個套件在工作設定檔裡也存在時，請明確傳它。 |
| <command> | 套件名稱之後的所有東西都會以那個 app 的身分執行，中間沒有 shell——除非你自己要一個。所以寫在同一行上的重導向，是由「你的」shell 以 `shell` uid 執行的，不是由那個 app 執行——這正是為什麼把 app 的資料庫寫到共用儲存空間會成功。 |
範例
run-as com.example.debug id探測：它會印出實際變成的 uid，所以答案是可驗證的而不只是沒有聲音。
run-as com.example.debug ls databases/列出 app 的 SQLite 檔案。工作目錄已經是 app 的家目錄。
run-as com.example.debug cat databases/app.db > /sdcard/app.db把資料庫複製到你拉得回來的地方。
run-as --user 0 com.example.debug id同一個探測，但指定某一個 Android 使用者，適合那種在工作設定檔裡也存在的套件。
run-as com.example.debug sh -c 'ls -l files cache'在 app 的身分裡跑一個 shell，適合一個指令不夠用的時候。整段都加引號，讓你自己的 shell 原封不動地交出去。
輸出怎麼讀
你執行的那個指令印什麼就是什麼。被拒絕的訊息來自 `run-as` 自己，而且會說出三件事之中的哪一件發生了：這個套件不可除錯、這個套件不存在，或這個版本根本沒有這個輔助程式。
輸出欄位
| 欄位 | 意義 |
|---|---|
| uid=10234(u0_a234) … | `id` 探測成功：你現在就是那個 app。 |
| …is not debuggable | 這是正式版本。沒有 root 就無計可施，而這是平台正常運作的樣子。 |
| unknown package | 打錯字，或這個使用者沒有安裝那個 app。 |
| run-as: not found | 這個版本沒有附這個輔助程式。少見，但確實會遇到。 |
| package not an application | 這個名稱平台認得，但它不是一個已安裝的 app，所以沒有 uid 可以借。 |
| run-as is disabled from the kernel commandline | 這個映像開機時輔助程式被關掉了。這是版本的性質，不是你這次請求的問題。 |
需要什麼權限
特別，而且值得在那些失敗訊息變得有意義之前先讀一次。`/system/bin/run-as` 是一支 setuid root 的輔助程式：它以特權啟動，檢查誰在問、問了什麼，然後在執行你的指令之前降到目標 app 的 uid 與 gid。有三道關卡決定這件事會不會發生，而讀平台原始碼可以確認，從 Android 11 到 15 它們都沒變。呼叫者必須是 `shell` 或 `root`——沒有第二種 uid 過得了第一關，這就是為什麼這件事不可能被夾帶進 app 裡。這個版本不能從核心指令列把輔助程式關掉。而那個套件必須是為你指名的那個 Android 使用者安裝的，並且在自己的資訊清單裡標成可除錯，實務上這代表一個你自己編出來的除錯版本。切換 uid 之後，它會在走進 app 的資料目錄之前再驗證一次：路徑必須是絕對路徑、必須屬於那個 app 的 uid 與 gid、不能被其他人讀寫，而且不能含任何 `..`。其中任何一項不過，都會在你的指令跑起來之前中止。所以這不需要 root、不需要 `adb root`、開發者選項裡也沒有東西要啟用——而同樣地，它也不可能被說服去對一個正式版本動手。需要那種能力的手機就是一台需要 root 的手機，這一頁上沒有任何旗標可以取代它。
失敗訊息對照
| 訊息 | 意義 |
|---|---|
| run-as: package not debuggable: com.example | 這個 app 的資訊清單沒有把自己宣告成可除錯。這是平台照設計運作而不是缺陷：商店版本在任何手機上都會被拒絕，有沒有 root 都一樣。注意確切的用字——Android 11 到 15 印的都是 `package not debuggable`，而更老的版本把同一個拒絕寫成一句關於套件不可除錯的句子，所以照舊寫法比對的東西，會把一個現代的拒絕誤判成不認識的訊息。 |
| run-as: unknown package: com.example | 套件清單裡沒有這個名字。可能是打錯字，也可能是那個 app 裝在別的 Android 使用者底下而不是你問的這個——`pm list packages` 可以決定是哪一種，而且它是從平台而不是從記憶裡決定的。 |
| run-as: only 'shell' or 'root' users can run this program | 呼叫的 uid 兩個都不是。從 app 裡面呼叫這個指令時會看到它；輔助程式在看套件之前就先檢查呼叫者，所以這一行完全沒有告訴你那個套件存不存在。 |
| run-as: package not an application: com.example | 這個名稱解析到平台認得的某個東西，但它不是一個已安裝的 app，所以沒有 app 的 uid 可以變成。這和 `unknown package` 是不同的，而那個區別正是有用的地方。 |
| run-as: run-as is disabled from the kernel commandline | 這個版本開機時把輔助程式關掉了。app、套件名稱與你自己的 uid 通通改變不了答案；那是那一次開機的性質，唯一繞過去的路是換一個映像。 |
| run-as: couldn't chdir to package's data directory '/data/user/0/com.example': Permission denied | uid 切換成功了，但走進 app 的家目錄沒有成功。這不常見，而它通常代表那個資料目錄的擁有者或權限模式，沒過輔助程式在這一步之前做的其中一項檢查——所以請把它讀成關於磁碟上那個目錄的陳述，而不是關於你的存取權。 |
版本與廠商注意事項
- 它只對在資訊清單裡宣告可除錯的 app 有效，實務上就是你自己 app 的除錯版本。Play 商店的 app 會被拒絕，而那個拒絕是安全模型而不是問題。
- 指令是從 app 的家目錄開始的，所以請用像 `databases/app.db` 這樣的相對路徑。沒有辦法把它指向另一個 app 的目錄。
- 在 app 正開著資料庫的時候複製它，可能抓到寫了一半的狀態。內容重要的話，先把 app 停掉。
- 這幾道關卡的檢查順序是固定的——先是呼叫的 uid，再來是核心指令列的開關，最後才是套件本身——所以回來的第一行就告訴你你卡在哪一關，而在前一關通過之前，跟後面那一關爭論沒有意義。
- 切換 uid 之後，輔助程式會再驗證一次 app 的資料目錄：絕對路徑、擁有者正確、不能給群組或其他人存取、而且不含 `..`。在那一步被拒絕，講的是磁碟上那個目錄而不是你自己的存取權，而且它會在你的指令跑起來之前中止。
這個我們有 UI
Android ADB Toolbox 會透過 USB 執行這個指令並解析回應——只要 Chromium 系瀏覽器，不必安裝 SDK，也不會上傳任何東西。
相關指令
和 run-as 會在同一次作業裡出現的指令。
| 指令 | 做什麼 |
|---|---|
| logcat | 串流系統紀錄：手機上發生的一切的實況轉播。 |
| dumpsys dropbox | 平台用來存放當機、ANR 與 tombstone 的環形緩衝——這是不用 root 讀 ANR 追蹤的方法。 |
| pm path | 印出組成某個已安裝套件的 APK 檔絕對路徑。 |
其他系統與紀錄指令
這些行為是在撰寫 Web ADB 工具背後的解析程式時，對照 AOSP、toybox 與核心原始碼查證的。真的會因 Android 版本或廠牌而異的地方，這一頁會直接說明，而不是給你一個在半數手機上都是錯的數字。