【报Bug】离线打包 Get (5.24) SDK：隐私弹窗前 uni-ad 模块 ba_pull 即触发 MSA InitSdk 采集 OAID，早于用户同意

一、环境信息

• AppID：UNI8969615
• App 名称：众合星野 包名：com.xingye.hoshino
• 打包方式：离线打包，HBuilderX 本地打包 App 资源 + Android Studio 离线集成工程
• SDK 版本：5.24.82669_20260813（lib.5plus.base-release.aar 内置 uni-ad 模块 io.dcloud.feature.gg）

• 运行系统：Android（应用宝合规检测环境 & 真机 logcat 验证）

  二、问题现象
  第三方合规检测（腾讯应用宝）报告场景2/5：在用户点击"同意"隐私弹窗之前，SDK 已通过 MSA OAID SDK 获取了 OAID（报告中标称 CAID）。
  真机 logcat 验证确认为 DCloud 5+ 基座自身行为（与本应用业务代码无关）。

  三、反编译确认的调用链（lib.5plus.base-release.aar）

  com.bun.miitmdid.core.MdidSdkHelper.InitSdk   ← MSA OAID SDK 初始化  
  ← io.dcloud.p.m3.a  
  ← io.dcloud.p.n4.b  
  ← io.dcloud.p.x3.b  
  ← io.dcloud.p.u3.b  
  ← io.dcloud.feature.gg.dcloud.ADHandler.pull  
  ← io.dcloud.feature.gg.dcloud.AolFeatureImpl.doForFeature  
  ← io.dcloud.feature.gg.AolFeatureImplMgr.doForFeature  
  ← io.dcloud.p.k.a  
  ← io.dcloud.a$a.run  (Activity onCreate Runnable)

  关键事实（反编译字节码佐证）：

  1. io.dcloud.a$a.run 的 Runnable 内含字符串常量 "ba_pull"，经 io/dcloud/p/k.a(Context,null,"ba_pull",null) 分发；
  2. AolFeatureImpl/ADHandler 已直接编译进 lib.5plus.base-release.aar classes.jar，非可选模块，无法简单剔除；
  3. ADHandler.pull 内：先调 t3.a(context, initConfig, handler) 初始化 AD SDK（此步即触发 MdidSdkHelper.InitSdk），之后才调用 DCloudAOLManager.setPrivacyConfig(privacyConfig)；
  4. AolFeatureImpl.doForFeature 的 "ba_pull" 分支先调 ADHandler.pull，之后才调用 AppRuntime.hasPrivacyForNotShown —— 即隐私判断晚于采集发生。

  四、真机 logcat 时间线（pm clear + 外部存储清除后全新启动）

• 启动即 DCloudApplication 初始化（DeviceInfo 第一次，外存未挂载）
• 随后 PrivacyManager.showPrivacyDialog 弹出隐私弹窗
• 但在这之前 onCreate Runnable 内的 ba_pull → MSA InitSdk 已执行，OAID 已写入 dcloud-ads.xml（oaid=xxx）与 pdr.xml（android_ten_ids）

• 用户未点同意，即可在外存文件中检出 OAID —— 即"同意前采集"实锤

  五、已尝试无效的方案

  1. androidPrivacy.json 配 prompt:"template" + 弹窗内"暂不同意则退出" —— 只拦 JS 层，拦不住基座原生层；
  2. dcloud_control.xml 补 debug="false" syncDebug="false" —— 无效；
  3. 调用 SDK.setAgreePrivacy(Context,false)/isAgreePrivacy —— 无效，且 DCloudAOLManager.setPrivacyConfig 调用时序在 ADHandler 初始化之后，配置来不及生效；
  4. 对基座做 R8/裁剪剔除 uni-ad 类 —— 耦合过深（AolFeatureImplMgr 等在 lib.5plus.base 核心），有崩溃风险，未采用。

  六、诉求

  1. 请确认该行为是否为 5.24 版 SDK 的已知问题，是否有修复版本（SDK 5.24 后续小版本 / 新版 5+ 基座）；
  2. 若无修复版本，能否提供官方补丁包，或将 uni-ad 的 ba_pull 初始化推迟到隐私弹窗同意之后（如在 Integrity 或 getAgreePrivacy 回调之后）；
  3. 期望修复后"同意前不产生任何 OAID/设备标识采集行为"，以通过应用宝合规复检。

  附：相关检测报告（应用宝报告场景2/5 截图）、反编译堆栈截图、logcat 时间线截图。

• 但在这之前 onCreate Runnable 内的 ba_pull → MSA InitSdk 已执行，OAID 已写入 dcloud-ads.xml（oaid=xxx）与 pdr.xml（android_ten_ids）

• 用户未点同意，即可在外存文件中检出 OAID —— 即"同意前采集"实锤

  五、已尝试无效的方案

  1. androidPrivacy.json 配 prompt:"template" + 弹窗内"暂不同意则退出" —— 只拦 JS 层，拦不住基座原生层；
  2. dcloud_control.xml 补 debug="false" syncDebug="false" —— 无效；
  3. 调用 SDK.setAgreePrivacy(Context,false)/isAgreePrivacy —— 无效，且 DCloudAOLManager.setPrivacyConfig 调用时序在 ADHandler 初始化之后，配置来不及生效；
  4. 对基座做 R8/裁剪剔除 uni-ad 类 —— 耦合过深（AolFeatureImplMgr 等在 lib.5plus.base 核心），有崩溃风险，未采用。

  六、诉求

  1. 请确认该行为是否为 5.24 版 SDK 的已知问题，是否有修复版本（SDK 5.24 后续小版本 / 新版 5+ 基座）；
  2. 若无修复版本，能否提供官方补丁包，或将 uni-ad 的 ba_pull 初始化推迟到隐私弹窗同意之后（如在 Integrity 或 getAgreePrivacy 回调之后）；
  3. 期望修复后"同意前不产生任何 OAID/设备标识采集行为"，以通过应用宝合规复检。

  附：相关检测报告（应用宝报告场景2/5 截图）、反编译堆栈截图、logcat 时间线截图。