现场笔记 · 3 月 5 日
从「老周」发来的那个 11.4 MB 安装包说起
昨晚十点四十七分，老周在微信上扔过来一个文件名写着 tk49_v2.3.1_x86_64.apk 的安装包，体积 11.4 MB。我把它拖进 Android Studio 的模拟器，Android 14、API 34、Pixel 7 的配置，安装过程倒不复杂，但真正让我坐直的是首次启动时那个包名解析——它调用了三条我没想到的系统权限。老周在语音里说：「你先别急着发出来，看看那个 assets/config 目录。」我照做了，打开之后发现一个 2025 年 11 月 18 日的更新戳记，这比应用商店里挂着的版本号整整晚了三个月。说实话，这个时间差本身就值得记录一笔，因为它解释了为什么很多人搜 tk49 安卓客户端下载时，拿到的包和服务器上的行为对不上。
我把解包目录里 47 个文件按修改时间排了序，最大的一个是 3.2 MB 的 libtk49core.so，最小的一个是 214 字节的 proguard-map.txt。老周后来又补了一句：「你注意看 AndroidManifest 里那个 usesCleartextTraffic，设成 true 了。」这个细节在安全圈里不算小事，我记下来，但不是为了吓唬谁——我只是觉得，一个下载行为背后如果连明文流量开关都没人提，说明大家对这个客户端的研究还停留在「能不能装上」的层面。这恰恰是我开这个站、写这篇记录的原因。
