Converti APK in CSV

Un sistema di inventario delle applicazioni o un foglio di calcolo può richiedere nomi dei package, versioni, livelli SDK o autorizzazioni in formato CSV. Poiché un APK è un package Android e non una tabella, l'operazione pratica consiste nell'estrarre metadati selezionati o un file di dati incorporato, non nel convertire l'intero package.

Che cos'è il formato APK

Un APK è il package installabile utilizzato da Android. Android Studio, Gradle e altri sistemi di build Android creano file APK, che sviluppatori, fornitori di app, amministratori aziendali, tester e utenti distribuiscono tramite Google Play, sistemi di deployment gestiti o download diretti.

Un APK è un contenitore basato su ZIP che include comunemente AndroidManifest.xml, bytecode Dalvik o ART compilato in classes.dex, risorse, librerie native, asset e dati di firma. Può contenere un CSV incorporato o un altro documento, ma il database runtime di un'applicazione e i dati creati dall'utente normalmente risiedono separatamente sul dispositivo Android.

Che cos'è il formato CSV

CSV memorizza i record come righe e colonne di testo delimitate. Microsoft Excel, LibreOffice Calc, Google Sheets, database, script e sistemi di inventario possono importarlo senza richiedere l'applicazione originale.

CSV è adatto a campi come nome del package, version code, version name, application label, minimum SDK, target SDK, autorizzazioni, percorsi dei file o un record per APK. Non può preservare codice eseguibile, firme, immagini, risorse o la struttura completa delle directory come un'unica tabella utile.

Estrarre i metadati di un APK con gli strumenti Android

1. Installare Android SDK Build-Tools e individuare aapt2. Aggiungere la directory Build-Tools con versione al percorso dei comandi oppure richiamare l'eseguibile tramite il percorso completo.
2. Esaminare il package con aapt2 dump badging app.apk. Reindirizzare il risultato in badging.txt se serve anche un report leggibile.
3. Estrarre i campi selezionati in una riga CSV con uno script come il seguente, salvato come apk_metadata_csv.py:

import csv
import re
import subprocess
import sys

apk = sys.argv[1]
outfile = sys.argv[2]
text = subprocess.check_output(
    ['aapt2', 'dump', 'badging', apk],
    text=True,
    errors='replace'
)

def find(pattern):
    match = re.search(pattern, text)
    return match.group(1) if match else ''

row = {
    'file': apk,
    'package': find(r"package: name='([^']+)"),
    'version_code': find(r"versionCode='([^']*)"),
    'version_name': find(r"versionName='([^']*)"),
    'label': find(r"application-label:'([^']*)"),
    'min_sdk': find(r"sdkVersion:'([^']*)"),
    'target_sdk': find(r"targetSdkVersion:'([^']*)")
}

with open(outfile, 'w', newline='', encoding='utf-8') as file:
    writer = csv.DictWriter(file, fieldnames=row)
    writer.writeheader()
    writer.writerow(row)

Eseguirlo con python apk_metadata_csv.py app.apk app.csv. Il risultato contiene una riga di intestazione e una riga di metadati. Eseguire lo script una volta per ogni APK e aggiungere le righe di dati a un file con la stessa intestazione quando si crea un inventario.

Estrarre un CSV incorporato

Aprire l'APK con 7-Zip o un'altra utility ZIP ed esaminare assets, res/raw e le altre directory. Usare 7-Zip → Extract to… e aprire direttamente qualsiasi file .csv esistente; non è necessaria alcuna conversione del formato. Un file con una struttura diversa, come JSON o SQLite, richiede il proprio parser o la propria procedura di esportazione.

Usare Apktool quando servono risorse decodificate o un manifest leggibile, e JADX quando servono visualizzazioni simili a Java del codice dell'applicazione decompilato. Nessuno dei due strumenti converte l'intero APK in record CSV significativi. La ricostruzione di un APK dopo la decodifica può invalidare la firma originale, a meno che non venga firmato nuovamente.

Opzioni online e desktop

Non esiste un servizio online generico e affidabile in grado di dedurre uno schema CSV significativo da ogni APK. Strumenti desktop come Android SDK Build-Tools, 7-Zip, Apktool e JADX evitano di caricare codice proprietario, certificati o dati incorporati. Un analizzatore APK online può essere utile per un campione non sensibile se documenta esplicitamente l'esportazione dei metadati o dei report, ma verificare che l'output sia effettivamente CSV e consultare la relativa politica di conservazione prima del caricamento.

Limiti di qualità e compatibilità

I metadati possono essere incompleti quando i valori sono offuscati, localizzati, codificati in risorse binarie o non disponibili nello strumento selezionato. Un'applicazione split può essere costituita da un APK di base più APK di configurazione e funzionalità; esaminare l'insieme completo quando l'inventario deve rappresentare l'app installata.

Durante l'importazione del risultato, selezionare UTF-8 e usare una virgola come delimitatore, a meno che il sistema ricevente non specifichi un altro separatore. Trattare i nomi dei package e i version code come testo, in modo che il software per fogli di calcolo non li riformatti. Racchiudere tra virgolette i campi contenenti virgole, virgolette o interruzioni di riga; il writer CSV di Python gestisce automaticamente questa citazione.

L'estrazione dei dati non converte né modifica l'APK originale. Non caricare package privati, firmati, proprietari o campioni di malware su un servizio online, poiché l'analisi potrebbe esporre codice dell'applicazione, segreti incorporati, dati degli utenti o informazioni di firma.