第十四板块：Android 硬件抽象与安全加固 | 第三十四篇：Hardware Composer (HWC) 与 显示安全（HDCP）

第十四板块：Android 硬件抽象与安全加固 | 第三十四篇：Hardware Composer (HWC) 与 显示安全（HDCP）

所属板块：第十四板块 — Android 硬件抽象与安全加固

前置知识：第三十三篇中的 Verified Boot、TrustZone/TEE、Kernel DRM 子系统、SurfaceFlinger 合成机制

本篇定位：这是 Android 系统连接硅片与现实光影的最后一道闸门。如果说 GPU 是画师，那么Hardware Composer (HWC)就是画廊的策展人，决定哪幅画该挂在墙上；而HDCP则是防窃取的保险柜。本篇将彻底拆解HWC HAL 的接口契约、SurfaceFlinger 与 HWC 的协商机制（Validate/Present）、Overlay Plane 的硬件叠加原理、HDCP 1.4/2.3 的密钥交换与加密流。我们将深入HAL 接口定义、Kernel DRM 驱动、HDCP 认证协议，揭示 Android 如何在毫秒级时间内完成多图层的硬件合成，并确保高价值内容（如 DRM 视频）不被窃取。全程无 UI 适配技巧、无显示优化建议，仅保留硬件显示架构的底层定义与安全规范。

1. 核心结论先行（Thesis Statement）

Android 的显示系统是一个基于硬件能力的委托式合成模型。

• HWC 的本质：硬件能力的代言人。它不是一个执行者，而是一个决策者。SurfaceFlinger 将图层（Layers）交给 HWC，HWC 根据硬件限制（Overlay Plane 数量、缩放能力、格式支持）决定哪些图层由Display Controller 直接叠加，哪些必须由GPU 预先合成。
• Overlay 的本质：零拷贝的物理叠加。Display Controller 可以直接从不同内存地址读取图层数据，无需 GPU 进行像素拷贝，极大节省功耗。
• HDCP 的本质：链路加密协议。它在Source（手机）和Sink（显示器/TV）之间建立一个加密隧道。即使攻击者截获了 HDMI 线缆上的物理信号，也无法解密出原始像素数据。
• 安全通道（Secure Path）的本质：从 TEE 到显示控制器的端到端隔离。确保 DRM 内容从不进入普通世界的内存，直接在安全世界中解密并显示。

2. HWC 架构全景图

2.1 从 SurfaceFlinger 到屏幕

2.2 核心组件职责表

3. HWC 的合成策略：Overlay vs GPU

3.1 协商机制（Validate/Present）

SurfaceFlinger 与 HWC 的交互是两步走的。

第一步：Validate (验证)

1. SurfaceFlinger 准备好 Layer 列表（包含 Buffer 地址、宽高、Alpha、Transform）。
2. 调用validateDisplay()发给 HWC。
3. HWC 决策：
   • Case A: 硬件支持 4 个 Overlay Plane，现在有 3 个图层。HWC 返回：全部用 Overlay（0个 GPU 合成）。
   • Case B: 硬件支持 2 个 Overlay Plane，现在有 4 个图层。HWC 返回：需要 GPU 合成 2 个图层，剩下 2 个用 Overlay。
4. SurfaceFlinger 根据 HWC 的决策，调整合成计划。

第二步：Present (呈现)

1. SurfaceFlinger 将需要 GPU 合成的图层合并成一个 FrameBuffer。
2. 调用presentDisplay()，将 FrameBuffer 和 Overlay 图层的 Buffer 交给 HWC。
3. HWC 配置硬件寄存器，启动显示。

3.2 Overlay 的优势与限制

学术定义：

• 带宽（Bandwidth）：Overlay 只需要读取各图层数据一次；GPU 合成需要读取 N 次，写入 1 次，带宽消耗大得多。

4. HDCP 显示安全机制

4.1 HDCP 的工作原理

HDCP (High-bandwidth Digital Content Protection) 旨在防止数字内容在传输过程中被复制。

学术定义：

• Authentication (认证)：Source 和 Sink 交换密钥，验证对方是否是合法的 HDCP 设备。
• Encryption (加密)：认证通过后，Source 使用会话密钥对像素数据进行加密，然后通过 HDMI 发送。
• Repeater (中继器)：如果中间有 AV 功放，它需要逐级认证上游和下游设备。

4.2 HDCP 版本对比

4.3 安全通道（Secure Path）与 TEE

对于 Widevine L1 等高安全级别内容，仅靠 HDCP 不够，还需要Secure Path。

学术定义：

• Secure Path：视频在 TEE 中解密后，数据直接流向显示控制器，不经过 Android 内核或用户空间。即使系统被 Root，也无法截获明文像素。

5. 关键源码深度解析

5.1 HWC HAL 接口定义 (HIDL)

// hardware/interfaces/graphics/composer/2.1/IComposer.halinterface IComposer{// 创建显示设备createVirtualDisplay(...)generates(Error error,Display display);// 验证显示配置validateDisplay(Display display)generates(Error error,ConfigChanges changes);// 呈现显示presentDisplay(Display display)generates(Error error);};// hardware/interfaces/graphics/composer/2.1/types.halstructLayer{BufferHandle buffer;// 图层 BufferRect displayFrame;// 显示区域Rect sourceCrop;// 裁剪区域floatalpha;// 透明度BlendMode blendMode;// 混合模式};

5.2 SurfaceFlinger 的 HWC 调用

// frameworks/native/services/surfaceflinger/DisplayHardware/HWComposer.cppboolHWComposer::validate(HwcDisplayId displayId){// 1. 准备 Layer 列表std::vector<HwcLayer>layers;for(auto&layer:mCurrentLayers){layers.push_back(layer.toHwcLayer());}// 2. 调用 HWC HALautoerror=mComposer->validateDisplay(displayId,layers);// 3. 解析 HWC 的反馈if(error==Error::NOT_VALIDATED){// HWC 要求 GPU 合成mForceGpuComposition=true;}returnerror==Error::NONE;}

5.3 HDCP 认证流程

// 内核驱动中的 HDCP 认证inthdcp_authenticate(structhdcp_device*dev){// 1. 读取 Sink 的 Bksv (KSV)hdcp_read_ksv(dev,&sink_ksv);// 2. 计算 R0/Rihdcp_compute_r0(dev,sink_ksv);// 3. 交换 An/Aksvhdcp_exchange_an_aksv(dev);// 4. 验证 R0' == R0if(hdcp_verify_r0(dev)!=SUCCESS){return-EACCES;// 认证失败}// 5. 启动加密hdcp_enable_encryption(dev);return0;}

6. 显示安全的常见误区

7. 本篇总结（Knowledge Closure）

8. 第十四板块结语

至此，第十四板块：Android 硬件抽象与安全加固已全部完结。

我们从BootROM 的信任根出发，深入AVB 的签名验证，探索TrustZone 的硬件隔离，最终抵达HWC 的显示合成与 HDCP 的内容保护。

我们揭示了 Android 硬件安全的核心逻辑：用硬件能力定义软件边界，用密码学保护数据流动，用物理隔离构建安全堡垒。

下一篇预告：第十五板块：Android 系统调试与逆向工程 | 第三十五篇：ART 虚拟机内部机制与 OAT 文件格式