安卓免Root运行JavaScript脚本：基于无障碍服务的实现原理

在Android系统上，实现不需要获取Root权限即可自动点击界面、滑动屏幕以及解析UI元素的自动化工具，其底层核心依赖于系统原生提供的无障碍服务（AccessibilityService）。通过在Android宿主应用内嵌入JavaScript运行环境，并将无障碍服务提供的节点树遍历、事件监听与手势模拟接口映射为全局JS方法，脚本开发者便能用简洁的Web前端语法编写出跨应用自动化的控制逻辑。

一、整体架构：从JS脚本到系统操作的流转链条

传统的Android系统安全模型对跨应用控制有极其严格的沙箱隔离，普通的非系统App在没有Root提权的情况下，无法调用 input tap 或 sendevent 这类底层Shell命令。然而，系统为了支持视障用户或行动不便人士使用移动设备，设计了无障碍框架（Accessibility Framework）。只要用户在系统设置中明确为某个应用授权开启该服务，该应用就具备了跨界面读取UI控件信息和模拟物理手势的特权。

图1：免Root运行JavaScript脚本的三层交互体系

在这个体系中，整个免Root环境运行机制由三大部分构成：

• 脚本层（JavaScript）：负责业务逻辑的组织。例如调用 text("确定").click() 或 swipe(300, 1000, 300, 200, 500)。
• 桥接宿主层（Android App & JS Engine）：通常采用嵌入式JS引擎（如Auto.js早期版本使用的Mozilla Rhino，或后期采用的Node.js/V8环境）。引擎负责执行JS代码，并将Java层中的服务句柄作为全局变量注入到JS作用域中。
• 系统无障碍层（AccessibilityService）：作为系统进程的客户端，向系统的 AccessibilityManagerService 注册，以获取前台界面的节点快照，并通过IPC跨进程通道下发模拟手势。

二、启用与授权：无障碍服务的配置声明

Android应用并不能随意接管无障碍服务，必须在 AndroidManifest.xml 中声明专属的Service组件，并通过元数据（meta-data）指定其监听能力与权限边界。

<!-- AndroidManifest.xml -->
<service
    android:name=".services.AutomationAccessibilityService"
    android:permission="android.permission.BIND_ACCESSIBILITY_SERVICE"
    android:exported="true">
    <intent-filter>
        <action android:name="android.accessibilityservice.AccessibilityService" />
    </intent-filter>
    <meta-data
        android:name="android.accessibilityservice"
        android:resource="@xml/accessibility_service_config" />
</service>

服务特性的具体声明通常存放在 res/xml/accessibility_service_config.xml 中。要实现全功能免Root脚本操作，必须声明具备检索窗口内容与执行手势的能力：

<!-- res/xml/accessibility_service_config.xml -->
<accessibility-service xmlns:android="http://schemas.android.com/apk/res/android"
    android:description="@string/accessibility_desc"
    android:accessibilityEventTypes="typeAllMask"
    android:accessibilityFeedbackType="feedbackGeneric"
    android:notificationTimeout="100"
    android:canRetrieveWindowContent="true"
    android:canPerformGestures="true"
    android:accessibilityFlags="flagDefault|flagRetrieveInteractiveWindows" />

其中关键属性的含义如下：

• canRetrieveWindowContent="true"：赋予服务访问当前前台Activity界面控件层级树的权限，否则无法定位按钮或提取屏幕文字。
• canPerformGestures="true"：这是Android 7.0（API 24）引入的关键特性，允许应用无Root下发任意多点触控与滑动轨迹。
• accessibilityEventTypes="typeAllMask"：监听窗口状态变化、视图焦点变更、滚动等各类UI事件。

图2：无障碍服务的检测、授权引导与连接生命周期

三、控件查找与节点树遍历机制

当无障碍服务连接成功后，系统会赋予它获取当前交互窗口根节点的能力。通过调用 getRootInActiveWindow()，可以获取一个 AccessibilityNodeInfo 对象。这个对象代表了当前手机屏幕展示的UI根视图。

在Android系统内部，每一个按钮、文本输入框、列表项都是树上的一个节点。每个节点都包含一系列属性：

• getText()：获取控件上显示的文本内容。
• getViewIdResourceName()：获取控件在布局文件中的唯一ID（如 com.tencent.mm:id/action_bar）。
• getBoundsInScreen(Rect outBounds)：获取该控件在屏幕绝对物理像素坐标中的矩形边界。
• isClickable() / isScrollable()：指示该控件是否允许点击或滚动。

图3：无障碍树形结构与JavaScript选择器的遍历检索过程

在JavaScript封装层，通常会提供链式调用的选择器（UiSelector）。例如：

// JavaScript脚本端代码
var btn = text("确定").clickable(true).findOne(2000);
if (btn) {
    btn.click();
}

这段代码在Java宿主层内部的实现逻辑如下：

1. 宿主调用 service.getRootInActiveWindow() 拿到根节点。
2. 采用深度优先（DFS）或广度优先（BFS）遍历该节点树，检查每个子节点的 getText() 是否等于 "确定"，且 isClickable() 为 true。
3. 若在超时时间内找到符合条件的节点，则将其包装为JS对象；如果找不到，通过主线程轮询等待重试。

四、操作模拟：从节点点击到任意坐标手势注入

检索到节点后，如何模拟用户的人手操作？Android无障碍框架提供了两种完全不同的操作机制：

1. 基于节点语义的操作（Action Click）

当目标View本身设置了 clickable=true 时，可以直接调用该节点的 performAction 方法：

// Java内部桥接代码
nodeInfo.performAction(AccessibilityNodeInfo.ACTION_CLICK);

这种方式的优点是执行速度极快、不依赖屏幕分辨率，也不受动画或界面轻微遮挡的影响；缺点在于，如果目标App的按钮没有声明可点击属性（例如在父层布局上统一绑定了触摸监听），直接对其调用 ACTION_CLICK 往往毫无反应。

2. 基于路径的手势模拟（GestureDescription）

为了解决上述局限，Android 7.0（API 24）正式引入了 dispatchGesture 接口。宿主可以无视控件是否声明了可点击，直接在屏幕指定坐标上模拟电容屏的物理触摸过程。

手势模拟的核心构造逻辑是 Path 与 GestureDescription.StrokeDescription：

// Java宿主中模拟点击指定屏幕坐标 (x, y)
Path path = new Path();
path.moveTo(x, y); // 触摸起始坐标

// 模拟人手轻按50毫秒的点击手势
GestureDescription.StrokeDescription stroke = 
    new GestureDescription.StrokeDescription(path, 0, 50);

GestureDescription.Builder builder = new GestureDescription.Builder();
builder.addStroke(stroke);

// 跨进程下发给系统合成器
accessibilityService.dispatchGesture(builder.build(), new AccessibilityService.GestureResultCallback() {
    @Override
    public void onCompleted(GestureDescription gestureDescription) {
        super.onCompleted(gestureDescription);
        // 手势执行完成回调
    }
}, null);

当执行滑动（Swipe）操作时，只需将 Path 改为从点 A 到点 B 的连续线条，并设置持续时间（例如500毫秒），Android底层即可完整合成具有加速度曲线的触控触摸流，实现完全免Root的真实物理手势模拟。

五、JS引擎桥接：JavaScript与Java运行时的互通机制

为什么一段在文本框里编写的普通JavaScript脚本，可以直接调动Java编写的 AccessibilityService？核心在于嵌入式JavaScript解析引擎的运行环境注入。

以经典的 Mozilla Rhino 引擎为例，其工作原理主要包含两个阶段：

1. 初始化上下文与全局作用域：在Android服务进程内创建Rhino的 Context 与 ScriptableObject。
2. 注入原生宿主对象（Host Objects）：将编写好的Java桥接类实例直接挂载到全局作用域中。

// Java层注入JS运行时的核心骨架
Context rhinoContext = Context.enter();
rhinoContext.setOptimizationLevel(-1); // 移动端通常开启解释执行模式

Scriptable scope = rhinoContext.initStandardObjects();

// 实例化自动化工具箱并绑定给JS全局对象
AutomationBridge bridge = new AutomationBridge(accessibilityService);
Object wrappedBridge = Context.javaToJS(bridge, scope);
ScriptableObject.putProperty(scope, "$auto", wrappedBridge);

// 注入公共JS辅助函数（将 $auto.click 包装为全局的 click()）
String polyfill = "function click(x, y) { return $auto.click(x, y); }" +
                  "function sleep(ms) { $auto.sleep(ms); }";
rhinoContext.evaluateString(scope, polyfill, "polyfill.js", 1, null);

// 执行用户的脚本代码
String userScript = "click(500, 800); sleep(1000);";
rhinoContext.evaluateString(scope, userScript, "user_script.js", 1, null);

通过这一桥接桥梁，JavaScript中调用的 click(500, 800)，在底层便无缝转换成了 accessibilityService.dispatchGesture(...) 的Java方法调用。

六、技术边界与系统限制总结

虽然基于无障碍服务的免Root方案极大降低了Android端自动化的开发门槛，但在实际使用场景中依然存在着客观的技术边界与系统安全限制：

图4：基于无障碍服务的技术优势与现实约束综合总结

综上所述，安卓免Root运行JavaScript脚本并非采用了某种系统越狱或漏洞利用技术，而是标准且合法的Android系统无障碍框架的工程化封装。它以 AccessibilityService 作为底层与系统交互的桥梁，以嵌入式JavaScript解释引擎作为上层开发语言的运行载体，为日常操作测试、办公辅助以及特定工作流自动化提供了安全、规范且高效的实现路径。