Android11 系统里想把 adb 加上访问密码这件事听起来像是一个小设置真动手会发现原生 adbd 根本没有传统意义上的密码框。Android 11 的 adb 调试默认靠 USB 授权弹窗和公钥认证网络调试则引入了无线调试配对码配对码在很多时候就是大家口中想要的“临时访问密码”。如果你手里是电视盒子、开发板、车机、旧手机或者测试机需要远程用 adb 安装应用、抓 logcat、截图、传文件又不想让同一个局域网里的任意电脑都能连进来那这篇内容就是围绕 Android11、adb、访问密码三个核心点把能落地的几种做法拆开讲清楚。它适合已经会一点 adb 常用命令、但被 adb unauthorized、无线调试端口变化、5555 端口裸奔等问题折磨过的人也适合想给自家设备加一层门槛的普通玩家。1. Android 11 的 adb 认证逻辑先弄明白1.1 adb 到底有几种连接方式Android 11 上的 adb 连接大致分三类。第一类是 USB 调试电脑通过数据线连到设备设备弹出“允许 USB 调试吗”确认后电脑的 adbkey.pub 被写入设备信任列表后续这台电脑就能直接执行 adb shell、adb install、adb logcat 等命令。第二类是传统 TCP 调试也就是常说的 5555 端口通过setprop service.adb.tcp.port 5555和重启 adbd 打开电脑用adb connect IP:5555连接。第三类是 Android 11 开始强化的无线调试它使用 TLS 配对流程设备端显示配对码和配对端口电脑端执行adb pair配对成功后再用连接端口执行adb connect。很多人搜 adb 访问密码其实是把第三类的配对码当成了密码因为它是六位数字有有效期输入一次才能建立信任。从权限角度看USB 调试和无线调试最终都落到同一套密钥信任机制上。设备端/data/misc/adb/adb_keys里保存的是被信任电脑的公钥电脑端~/.android/adbkey和adbkey.pub是私钥和公钥。只要公钥在设备白名单里电脑就不需要每次弹窗确认。如果不在设备就会显示 adb unauthorized除非你在屏幕上点允许或者用 root 权限手动把公钥塞进去。这也是为什么 adb 没有传统密码它的安全模型不是“账号加密码”而是“密钥加设备端确认”。理解这一点后面选方案就不会走偏。1.2 为什么 adbd 不提供密码登录adbd 是 Android 系统里的调试守护进程它设计之初面向的是开发者和工程模式不是给公网远程管理用的。传统密码方案需要有一个可靠的用户数据库、密码传输加密、防暴力破解、防重放等一整套机制而 adb 协议本身并没有把这些作为默认能力。Android 11 无线调试引入配对码是为了解决无线连接首次信任问题不是让你长期用六位数字当登录密码。配对码只在配对窗口打开时有效配对成功后真正起作用的是电脑端私钥和设备端公钥的匹配关系。换句话说六位配对码更像门禁临时二维码扫一次之后门禁记住的是你的手机密钥不是那串数字。这也意味着如果你在设备上强行找“adb 密码设置”菜单大概率找不到。厂商定制系统可能有自己的远程调试开关但底层还是 adbd 的授权逻辑。想让 adb 具备“访问密码”效果通常只有三条路使用 Android 11 官方无线调试配对码做一次性密码把特定电脑公钥写入白名单做成固定钥匙或者在 5555 端口前面加一层自己的端口守卫比如端口敲门加防火墙临时放行。三条路的复杂度、安全性和适用场景差别很大下面逐个拆。1.3 三种访问控制方案怎么选方案本质适合场景优点缺点无线调试配对码官方 TLS 配对临时码换长期密钥Android 11 及以上有屏幕可操作官方支持不用 root安全性较好端口会变无屏设备不方便重启后要重连adb 公钥白名单把电脑公钥写入设备信任列表自有设备、固定电脑、测试机连接稳定免弹窗可控性强需要 root 或首次授权公钥管理要细心端口敲门加防火墙默认关闭 5555密码敲门后临时放行盒子、车机、开发板必须用 5555能挡住同网段误连和扫描需要 root密码明文传输不是 adb 原生认证这张表不是为了让你选最复杂的而是让你按设备条件选。有屏幕、系统是 Android 11优先用无线调试配对码。设备已经 root电脑固定追求稳定就用公钥白名单。设备没有屏幕、系统老、只能开 5555才考虑端口敲门加白名单。至于 adb 禁止应用联网、adb 冻结应用、adb 精简列表这些操作本质上是连接成功之后的 shell 命令前提都是先解决认证和访问控制。2. 官方方案无线调试配对码当一次性访问密码2.1 打开开发者选项和无线调试Android 11 原生系统里进入设置找到关于手机连续点击版本号七次左右直到提示已进入开发者模式。不同厂商入口不一样vivo 通常在系统管理或更多设置里红米、小米在更多设置里老款创维电视可能藏在工厂菜单或开发者选项里需要遥控器按特定组合。进入开发者选项后找到“无线调试”并打开。注意有些设备同时有“USB 调试”和“无线调试”USB 调试不打开也能用无线调试但首次操作可能仍需要 USB 临时授权。打开无线调试后页面会显示一个 IP 地址和端口这个端口是连接端口不是配对端口。真正要配对时点击“使用配对码配对设备”系统会弹出一个对话框里面有六位配对码和另一个 IP:端口。这个端口通常和无线调试主页显示的连接端口不同可能是 37000 多也可能是 40000 多每次打开都可能变。配对码有效期很短通常只有几分钟所以你要先把电脑端 adb 环境准备好。adb 环境配置建议用较新的 platform-tools老版本 adb 不支持adb pair会直接报未知命令。检查命令是adb version如果版本太旧去官方工具包更新别用某些来路不明的 adb 工具包。adb version adb kill-server adb start-server准备工作还包括确认电脑和设备在同一局域网。手机连着 Wi-Fi电脑也要连同一个 Wi-Fi不能一个连路由器访客网络一个连主网络。很多配对失败不是 adb 问题而是路由器开了 AP 隔离设备之间不能互相访问。如果家里有多个路由器或 Mesh 节点尽量让电脑和设备连同一个节点或者先用 ping 测试 IP 是否通。2.2 adb pair 和 adb connect 的完整命令设备端显示配对信息后在电脑上执行adb pair 192.168.1.50:37123回车后终端会提示输入配对码把设备屏幕上的六位数字输进去。配对成功会显示Successfully paired to 192.168.1.50:37123。注意这个 37123 是配对端口不是后面连接用的端口。配对完成后回到无线调试主页面查看“IP 地址和端口”比如显示192.168.1.50:44555然后执行adb connect 192.168.1.50:44555连接成功会显示connected to 192.168.1.50:44555。再用adb devices -l查看应该能看到设备序列号为192.168.1.50:44555状态是device。如果显示unauthorized说明设备端没有确认或者公钥没有写入。如果显示offline先adb disconnect再重新连接或者重启 adbd。配对码只需要一次配对成功后电脑的 adbkey 被设备记住后续只要无线调试还开着通常直接 connect 就行不需要每次输入配对码。adb devices -l adb -s 192.168.1.50:44555 shell getprop ro.build.version.release adb -s 192.168.1.50:44555 shell getprop ro.product.model如果你有多个设备必须用-s指定序列号否则 adb 会报more than one device/emulator。这在同时连着夜神模拟器、真机和电视盒子时很常见。夜神模拟器 adb 模式通常会占用 62001 或 62025 之类的端口真机无线调试又是另一个 IP:端口adb devices会列出好几行。用-s是最稳的不要靠拔线来区分。2.3 配对码的有效范围和过期逻辑配对码不是永久密码它只在配对对话框打开期间有效。如果你把对话框关了或者超过时间没输入配对码就作废需要重新点“使用配对码配对设备”生成新的。配对成功后设备端保存的是电脑公钥不是那六位数字。所以不要想着把配对码记下来长期用下一次不一定还能用。无线调试关闭再打开连接端口通常会变配对关系有时还在有时需要重新配对取决于系统实现和是否撤销过授权。在 Android 11 上无线调试开启后设备会通过 mDNS 广播_adb-tls-pairing._tcp和_adb-tls-connect._tcp服务。电脑端可以用adb mdns services查看当前局域网里的配对和连接服务。如果看不到可能是路由器屏蔽了 mDNS或者系统省电策略杀了相关服务。此时可以手动输入 IP:端口不一定非要依赖自动发现。对于老款创维电视这类设备如果没有无线调试菜单可能只能通过 USB 调试或工厂模式打开 5555那就得走后面的公钥白名单或端口敲门方案。adb mdns services还有一个容易踩的坑有些设备开启无线调试后USB 调试授权会被重置。你正在用 USB 连电脑打开无线调试后USB 连接变成 unauthorized。这不是坏了是系统切换认证状态。重新在屏幕上点允许 USB 调试即可。如果屏幕点不了先保证无线调试已配对成功再用无线连接执行命令。2.4 无屏设备怎么拿到配对端口电视盒子、车机、开发板如果没有触摸屏配对码操作会很麻烦。常见做法有两种。第一种是先用 USB 鼠标或遥控器模拟点击打开无线调试并触发配对。第二种是系统已经 root或者能通过串口登录直接读取和修改相关设置。Android 11 的无线调试服务由系统组件管理普通 shell 不一定能直接读出配对码但可以通过adb shell dumpsys相关服务查找。更实际的做法是先通过 USB 连接授权一次然后用 USB 执行adb tcpip 5555打开传统 TCP 调试再用电脑adb connect IP:5555。这条老路在 Android 11 上仍然可用只是安全性不如无线调试配对。adb usb adb tcpip 5555 adb connect 192.168.1.60:5555adb tcpip 5555需要设备已授权 USB 调试。执行后拔掉数据线设备会监听 5555 端口。此时任何知道 IP 的电脑都可能尝试连接所以一定要配合公钥白名单或防火墙。对于红米 K70 这类新机型开发者选项里可能还有“无线调试”和“USB 调试安全设置”开启后能限制未授权电脑。vivo 的 adb 精简列表操作也类似先授权再执行pm uninstall --user 0之类的命令但精简系统应用有风险不要随便删尤其是不确定用途的包。3. 持久方案adb 公钥白名单等于固定钥匙3.1 生成和查看电脑端 adbkeyadb 公钥认证的核心文件在电脑用户目录下。Windows 通常是%USERPROFILE%\.android\adbkey和%USERPROFILE%\.android\adbkey.pubLinux 和 macOS 是~/.android/adbkey和~/.android/adbkey.pub。如果文件不存在启动 adb 服务时会自动生成。你也可以手动生成但注意会覆盖旧密钥覆盖后之前设备信任的旧公钥就失效了需要重新授权。手动生成命令是adb keygen ~/.android/adbkeyWindows PowerShell 下可以写adb keygen $env:USERPROFILE\.android\adbkey生成后查看公钥内容cat ~/.android/adbkey.pub公钥是一行很长的字符串通常以QAAAA之类开头后面跟邮箱或标识。设备端信任的就是这一行。如果你有多台电脑每台电脑都有自己的 adbkey.pub想让它们都能连就要把每一行都追加到设备白名单。不要直接把私钥 adbkey 拷来拷去私钥泄露等于别人可以冒充你的电脑。需要给不同电脑发权限时让对方自己生成密钥把公钥给你你再追加。3.2 把公钥写入 /data/misc/adb/adb_keysAndroid 设备信任的公钥列表一般在/data/misc/adb/adb_keys。这个文件权限通常是 640属主 system:shellSELinux 上下文是 adb_keys_file。普通应用和普通 shell 没有权限写必须 root。如果你的设备已经 root或者能adb root可以这样操作adb root adb remount adb push ~/.android/adbkey.pub /data/local/tmp/adbkey.pub adb shell cat /data/local/tmp/adbkey.pub /data/misc/adb/adb_keys adb shell chmod 640 /data/misc/adb/adb_keys adb shell chown system:shell /data/misc/adb/adb_keys adb shell restorecon /data/misc/adb/adb_keys adb shell stop adbd; start adbd如果你用的是 Magisk rootadb root不一定可用可以进入adb shell后执行su -cadb shell su cat /data/local/tmp/adbkey.pub /data/misc/adb/adb_keys chmod 640 /data/misc/adb/adb_keys chown system:shell /data/misc/adb/adb_keys restorecon /data/misc/adb/adb_keys stop adbd start adbd注意不同 Android 版本、不同厂商的路径和权限可能略有差异。有的设备文件是/data/misc/adb/adb_keys有的是/data/misc/adb/adb_keys不存在但 adbd 会自动创建。写入前先备份原文件cp /data/misc/adb/adb_keys /data/local/tmp/adb_keys.bak重启 adbd 后电脑端执行adb kill-server再adb devices应该直接显示 device不再弹窗。如果还是 unauthorized检查公钥是否完整一行、有没有换行符问题、权限和 SELinux 是否正确。公钥文件里不要有空行和中文注释一行一个公钥即可。3.3 ro.adb.secure 和授权弹窗的取舍Android 系统里有一个ro.adb.secure属性通常为 1表示 adb 需要安全授权。如果把它改成 0任何电脑连上 adb 都不需要确认看似方便实则非常危险。除非是纯离线测试设备否则不要关。正确做法是保留 secure 为 1然后把可信公钥提前写入 adb_keys。这样既不用每次弹窗又不会让陌生电脑随便连。改ro.adb.secure通常需要修改系统镜像或 Magisk resetprop而且 Android 11 的只读属性处理更严格不一定成功。对于需要开机自动信任的测试机可以在 Magisk 模块的post-fs-data.sh或service.sh里追加公钥。热词里出现的/data/adb/modules/trickystore和/data/adb/modules_update/trickystore是模块目录结构说明你可以通过模块在系统启动早期执行脚本。但这里只建议用来管理自己的 adb 公钥和调试配置不要拿去做绕过授权、伪造证书之类的事。安全边界要清楚调试权限越大责任越大。3.4 多设备多钥匙怎么管理如果你管理多台设备每台设备都有自己的 adb_keys电脑也有自己的 adbkey。最乱的情况是A 电脑只被 A 设备信任B 电脑只被 B 设备信任C 电脑想连所有设备。解决办法是统一公钥来源或者用ADB_VENDOR_KEYS环境变量指定额外的密钥目录。adb 支持通过环境变量加载多个密钥文件但在 Android 11 上最终还是看设备端 adb_keys 里有没有对应公钥。对于团队测试机可以专门生成一套测试密钥把公钥批量写入所有测试设备电脑统一使用这套私钥。离职或项目结束时从设备 adb_keys 删除对应公钥重启 adbd 即可吊销。吊销步骤adb shell su vi /data/misc/adb/adb_keys删除对应那一行保存退出然后stop adbd start adbd电脑端再adb kill-server重新连接就会发现又需要授权。轮换密钥时先追加新公钥确认新电脑能连再删除旧公钥避免把自己锁在外面。如果你只有一台电脑且设备没有屏幕删除旧公钥前一定要确认新公钥可用否则可能只能线刷救砖代价很大。4. 盒子车机场景给 5555 端口加密码敲门4.1 为什么不要直接开放 5555Android 11 原生更推荐无线调试配对但很多电视盒子、车机、开发板没有完整无线调试界面或者系统被厂商裁剪只剩adbd的 5555 端口可用。5555 一旦开放同一个局域网内任何电脑执行adb connect IP:5555都可能连上。如果设备端ro.adb.secure1第一次会弹窗授权如果之前已经信任过某台电脑或者被改过 secure陌生电脑也可能直接拿到 shell。更麻烦的是有些人为了远程方便把 5555 端口映射到公网这等于把设备控制权放在互联网上风险极高。adb 权限几乎等于系统级权限能安装应用、读日志、改设置、传文件甚至执行高权限命令。所以底线是5555 只允许在可信内网使用默认拒绝所有来源需要时再临时放行。如果你非要“密码”效果可以做一个端口敲门adb 端口平时在防火墙里是关闭的只有先向一个敲门端口发送正确密码设备才临时放行你的 IP 访问 5555。这个密码不参与 adb 协议只是防火墙开关所以只能算轻量访问控制不能替代密钥白名单。它适合防止同网段误连和简单扫描不适合暴露公网。4.2 端口敲门脚本长什么样这个方案需要 root因为要操作 iptables 和长时间监听端口。思路是设备开机后默认禁止外部访问 5555一个后台脚本监听 60001 端口客户端先发密码脚本验证通过后用 iptables 给来源 IP 临时放行 5555倒计时结束后再删除规则。示例脚本仅用于自有设备内网实验#!/system/bin/sh PASSchange-this-strong-pass ADB_PORT5555 KNOCK_PORT60001 CLIENT_IP192.168.1.23 while true; do LINE$(toybox nc -l -p $KNOCK_PORT -w 10) if [ $LINE $PASS ]; then iptables -I INPUT -p tcp --dport $ADB_PORT -s $CLIENT_IP -j ACCEPT sleep 120 iptables -D INPUT -p tcp --dport $ADB_PORT -s $CLIENT_IP -j ACCEPT fi done把脚本放到/data/local/tmp/adb_knock.sh赋予执行权限用 root 后台运行su chmod 755 /data/local/tmp/adb_knock.sh nohup /data/local/tmp/adb_knock.sh 然后设置默认拒绝iptables -A INPUT -p tcp --dport 5555 -j DROP电脑端先敲门echo change-this-strong-pass | nc 192.168.1.60 60001然后立即连接adb connect 192.168.1.60:5555这个脚本有几个明显限制。第一密码是明文传输局域网抓包可能看到。第二toybox nc在不同 Android 版本上的参数支持不一样-w和-l -p可能不通用。第三iptables 规则顺序很重要ACCEPT 要插到 DROP 前面。第四设备重启后规则和脚本都要自动恢复建议放到 Magisk 模块的service.sh里。第五如果客户端 IP 不固定可以改成按来源网段放行但安全性会下降。更稳的做法还是只允许固定电脑 IP并且同时保留 adb 公钥白名单。4.3 iptables 白名单和随机端口更实用比起密码敲门固定 IP 白名单更简单可靠。假设你的电脑 IP 是 192.168.1.23设备只需要允许这个 IP 访问 5555iptables -A INPUT -p tcp --dport 5555 -s 192.168.1.23 -j ACCEPT iptables -A INPUT -p tcp --dport 5555 -j DROP如果设备支持修改 adb 端口还可以把默认 5555 换成不常用端口减少被扫描概率setprop service.adb.tcp.port 34567 stop adbd start adbd电脑连接时指定新端口adb connect 192.168.1.60:34567注意setprop service.adb.tcp.port只在当前启动周期有效重启后可能恢复默认或关闭。要持久化可以写在 init 脚本或 Magisk 模块里。关闭 TCP 调试可以设置回 -1setprop service.adb.tcp.port -1 stop adbd start adbd对于红米 K70 这类设备adb 冻结应用、禁止应用联网等操作通常通过pm disable-user、cmd appops set或pm revoke实现不一定需要 5555 常开。需要时开完事关这是最省心的安全习惯。不要把调试端口当成远程管理通道长期挂着尤其是车机和电视盒子它们往往常年通电端口暴露时间越长风险越大。4.4 和官方无线调试怎么取舍如果你设备是 Android 11 且有屏幕无线调试配对码已经能满足大部分“访问密码”需求而且不用 root风险更低。端口敲门和 iptables 白名单更适合没有无线调试菜单、必须用 5555 的盒子设备。两者也可以叠加无线调试负责日常连接5555 只在特殊场景临时打开并且加白名单。千万别为了省事把 5555 直接映射到公网再配一个简单密码这在安全上几乎等于没有防护。adb 不是为公网远程设计的任何公网暴露都可能被扫描到。5. 常见问题排查unauthorized、配对失败、端口消失5.1 adb unauthorized 速查表现象常见原因处理办法adb devices 显示 unauthorized设备屏幕未点允许看设备弹窗勾选始终允许并确认USB 能连无线 unauthorized无线配对未成功重新打开配对码执行 adb pair之前能连突然 unauthorized设备撤销授权或 adb_keys 被重置重新授权或写入公钥root 写入公钥后仍 unauthorized权限、SELinux、换行符问题检查 640 system:shellrestorecon确保一行完整多台电脑只有一台能连adb_keys 只有那台公钥追加其他电脑 adbkey.pubWindows 上一直弹窗驱动或 adb 版本旧更新 platform-tools 和厂商驱动adb unauthorized 是最常见的入门问题。解决顺序是先在设备屏幕上确认授权再检查电脑 adbkey 是否变化再检查设备 adb_keys 是否包含当前公钥。如果设备没有屏幕只能靠预先写入公钥。写入公钥时最容易犯的错是直接把 Windows 文本文件拖进去结果带了 BOM 或 CRLF导致公钥行无法识别。建议用adb push推到/data/local/tmp再用cat追加不要用记事本编辑后复制粘贴。5.2 无线调试配对失败怎么查配对失败先看网络。电脑和设备是否同一网段路由器是否开了 AP 隔离防火墙是否拦截了 adb 或 mDNS。可以先用ping 设备IP测试连通性再用adb mdns services看服务。如果 mDNS 看不到但你知道配对端口可以手动adb pair IP:端口。配对码要当场输入过期就重新生成。电脑端 adb 版本必须支持adb pair旧版本没有这个子命令。Windows 上还要注意防火墙首次弹窗要允许 adb 访问专用网络和公用网络。adb connect失败常见原因是端口写错。配对端口和连接端口不是一个端口配对成功后要用无线调试主页显示的连接端口。如果提示cannot connect to IP:port先确认设备无线调试还开着再确认端口是否变化。无线调试关闭再开端口通常会变需要重新查看。adb kill-server后重新adb start-server也能清掉旧状态。如果一直连不上可以先用 USB 执行adb tcpip 5555作为临时替代连上后再研究无线调试。5.3 连接成功后怎么验证权限连上设备后不要只看adb devices显示 device 就以为万事大吉最好执行几条权限验证命令。adb shell id看当前用户普通 adb 通常是 shellroot 设备可能能 su。adb shell getprop ro.build.version.release看系统版本确认是不是 Android 11。adb logcat -d log.txt抓一段日志验证日志读取权限。adb exec-out screencap -p screen.png截图验证屏幕读取。adb push和adb pull传文件验证存储权限。adb install安装一个测试 apk验证安装权限。adb shell input text hello可以测试 adb 键盘输入。adb shell dumpsys battery set usb 0这类命令能验证 dumpsys 权限。adb shell id adb logcat -d log.txt adb exec-out screencap -p screen.png adb push local.txt /sdcard/Download/local.txt adb pull /sdcard/Download/local.txt . adb install test.apk adb shell input text hello如果这些命令有的能执行有的报权限拒绝说明 adb 认证已经通过但具体命令受系统权限限制。比如普通 shell 不能直接改系统设置不能访问/data/misc/adb/adb_keys。需要 root 的操作必须用su。这也是为什么给 adb 加访问密码只是第一道门进门之后还有 Android 权限体系。不要以为连上 adb 就一定能删除系统应用或修改系统文件很多操作需要解锁 bootloader、刷 Magisk 或使用工程固件。5.4 设备端 adbd 重启和日志定位如果连接状态异常可以在设备端或通过已连接会话重启 adbd。普通用户没有权限直接 stop adbd但 root 可以adb shell su stop adbd start adbd重启后电脑端也要adb kill-server。如果无线调试连接断开重新执行 connect。查看 adbd 状态可以用getprop和psgetprop ro.adb.secure getprop service.adb.tcp.port ps -A | grep adbd如果service.adb.tcp.port是空的说明 TCP 调试没开。如果是 5555说明传统 TCP 开着。如果ro.adb.secure是 1说明需要授权。部分设备还有persist.adb.tcp.port或厂商自定义属性需要按设备实际修改。排查时别只盯着电脑端设备端属性、防火墙规则、SELinux 状态都会影响连接。6. 个人踩坑与安全维护清单6.1 密码不是万能密钥白名单更靠谱我最早也想找一个“adb 密码设置命令”后来发现原生 adbd 根本不支持。六位配对码是临时信任码不是长期密码。端口敲门密码只是防火墙开关明文传输容易被同网段看到。真正稳的还是公钥白名单把电脑的 adbkey.pub 写进设备设备只认这把钥匙其他电脑没有私钥就进不来。再配合无线调试配对码完成首次信任或者用 root 预置公钥基本就能做到既方便又可控。密码可以加一层心理安慰但别把它当唯一防线。多设备管理时建议给团队测试机单独生成一套 adbkey不要用个人日常电脑的密钥。私钥文件~/.android/adbkey不要随便拷贝到共享盘不要提交到代码仓库。如果电脑重装系统旧密钥丢失设备端白名单里的旧公钥就变成无效条目记得从 adb_keys 里清理。定期检查设备 adb_keys删除不再使用的公钥减少被旧设备或旧电脑意外连入的可能。对于电视盒子、车机这类长期在线设备最好把调试端口默认关闭需要时再通过遥控器或串口打开。6.2 用完就关别把调试端口留在公网adb 调试权限很大能安装应用、抓 logcat、传文件、截屏、模拟输入甚至修改系统设置。把 5555 暴露到公网就算有密码也可能被扫描和爆破。正确做法是只在可信内网使用用完执行adb disconnect 192.168.1.60:5555设备端如果不再需要 TCP 调试执行setprop service.adb.tcp.port -1 stop adbd start adbd无线调试也一样不用时在开发者选项里关闭。需要远程管理时优先在路由器或跳板机上做访问控制不要让设备直接对公网开放。对于企业测试机最好划分独立 VLAN只允许指定电脑访问。对于个人设备至少确保 Wi-Fi 是 WPA2 或 WPA3 加密不要连陌生开放网络开调试。6.3 自动化和长期维护的小建议如果你用脚本自动连接设备记得加超时和重试不要无限循环adb connect。Android 11 无线调试端口会变可以用adb mdns services解析服务再动态获取连接端口。传统 5555 方案要把端口固定同时用 iptables 白名单锁定来源 IP。Magisk 模块可以帮忙开机恢复脚本和规则但脚本内容要尽量简单避免在post-fs-data.sh里做耗时网络操作否则可能影响开机。日志里不要打印 adb 私钥和密码调试脚本也不要写死明文密码至少用环境变量或受限权限文件保存。最后再分享一个实际经验Android 11 的无线调试配对码很好用但它解决的是首次信任不是长期密码。真正想让 adb 访问受控组合拳是“官方配对完成首次授权 设备端 adb_keys 只保留可信公钥 防火墙只放行内网固定 IP 用完关闭调试端口”。我试过在电视盒子上只开 5555 加简单密码结果同网段抓包就能看到敲门密码后来还是老老实实做白名单和公钥。设备安全和日常便利之间要平衡但调试端口这种入口宁严勿松。 Android 11 adb 访问密码：无线调试配对码与公钥白名单全解
Android11 系统里想把 adb 加上访问密码这件事听起来像是一个小设置真动手会发现原生 adbd 根本没有传统意义上的密码框。Android 11 的 adb 调试默认靠 USB 授权弹窗和公钥认证网络调试则引入了无线调试配对码配对码在很多时候就是大家口中想要的“临时访问密码”。如果你手里是电视盒子、开发板、车机、旧手机或者测试机需要远程用 adb 安装应用、抓 logcat、截图、传文件又不想让同一个局域网里的任意电脑都能连进来那这篇内容就是围绕 Android11、adb、访问密码三个核心点把能落地的几种做法拆开讲清楚。它适合已经会一点 adb 常用命令、但被 adb unauthorized、无线调试端口变化、5555 端口裸奔等问题折磨过的人也适合想给自家设备加一层门槛的普通玩家。1. Android 11 的 adb 认证逻辑先弄明白1.1 adb 到底有几种连接方式Android 11 上的 adb 连接大致分三类。第一类是 USB 调试电脑通过数据线连到设备设备弹出“允许 USB 调试吗”确认后电脑的 adbkey.pub 被写入设备信任列表后续这台电脑就能直接执行 adb shell、adb install、adb logcat 等命令。第二类是传统 TCP 调试也就是常说的 5555 端口通过setprop service.adb.tcp.port 5555和重启 adbd 打开电脑用adb connect IP:5555连接。第三类是 Android 11 开始强化的无线调试它使用 TLS 配对流程设备端显示配对码和配对端口电脑端执行adb pair配对成功后再用连接端口执行adb connect。很多人搜 adb 访问密码其实是把第三类的配对码当成了密码因为它是六位数字有有效期输入一次才能建立信任。从权限角度看USB 调试和无线调试最终都落到同一套密钥信任机制上。设备端/data/misc/adb/adb_keys里保存的是被信任电脑的公钥电脑端~/.android/adbkey和adbkey.pub是私钥和公钥。只要公钥在设备白名单里电脑就不需要每次弹窗确认。如果不在设备就会显示 adb unauthorized除非你在屏幕上点允许或者用 root 权限手动把公钥塞进去。这也是为什么 adb 没有传统密码它的安全模型不是“账号加密码”而是“密钥加设备端确认”。理解这一点后面选方案就不会走偏。1.2 为什么 adbd 不提供密码登录adbd 是 Android 系统里的调试守护进程它设计之初面向的是开发者和工程模式不是给公网远程管理用的。传统密码方案需要有一个可靠的用户数据库、密码传输加密、防暴力破解、防重放等一整套机制而 adb 协议本身并没有把这些作为默认能力。Android 11 无线调试引入配对码是为了解决无线连接首次信任问题不是让你长期用六位数字当登录密码。配对码只在配对窗口打开时有效配对成功后真正起作用的是电脑端私钥和设备端公钥的匹配关系。换句话说六位配对码更像门禁临时二维码扫一次之后门禁记住的是你的手机密钥不是那串数字。这也意味着如果你在设备上强行找“adb 密码设置”菜单大概率找不到。厂商定制系统可能有自己的远程调试开关但底层还是 adbd 的授权逻辑。想让 adb 具备“访问密码”效果通常只有三条路使用 Android 11 官方无线调试配对码做一次性密码把特定电脑公钥写入白名单做成固定钥匙或者在 5555 端口前面加一层自己的端口守卫比如端口敲门加防火墙临时放行。三条路的复杂度、安全性和适用场景差别很大下面逐个拆。1.3 三种访问控制方案怎么选方案本质适合场景优点缺点无线调试配对码官方 TLS 配对临时码换长期密钥Android 11 及以上有屏幕可操作官方支持不用 root安全性较好端口会变无屏设备不方便重启后要重连adb 公钥白名单把电脑公钥写入设备信任列表自有设备、固定电脑、测试机连接稳定免弹窗可控性强需要 root 或首次授权公钥管理要细心端口敲门加防火墙默认关闭 5555密码敲门后临时放行盒子、车机、开发板必须用 5555能挡住同网段误连和扫描需要 root密码明文传输不是 adb 原生认证这张表不是为了让你选最复杂的而是让你按设备条件选。有屏幕、系统是 Android 11优先用无线调试配对码。设备已经 root电脑固定追求稳定就用公钥白名单。设备没有屏幕、系统老、只能开 5555才考虑端口敲门加白名单。至于 adb 禁止应用联网、adb 冻结应用、adb 精简列表这些操作本质上是连接成功之后的 shell 命令前提都是先解决认证和访问控制。2. 官方方案无线调试配对码当一次性访问密码2.1 打开开发者选项和无线调试Android 11 原生系统里进入设置找到关于手机连续点击版本号七次左右直到提示已进入开发者模式。不同厂商入口不一样vivo 通常在系统管理或更多设置里红米、小米在更多设置里老款创维电视可能藏在工厂菜单或开发者选项里需要遥控器按特定组合。进入开发者选项后找到“无线调试”并打开。注意有些设备同时有“USB 调试”和“无线调试”USB 调试不打开也能用无线调试但首次操作可能仍需要 USB 临时授权。打开无线调试后页面会显示一个 IP 地址和端口这个端口是连接端口不是配对端口。真正要配对时点击“使用配对码配对设备”系统会弹出一个对话框里面有六位配对码和另一个 IP:端口。这个端口通常和无线调试主页显示的连接端口不同可能是 37000 多也可能是 40000 多每次打开都可能变。配对码有效期很短通常只有几分钟所以你要先把电脑端 adb 环境准备好。adb 环境配置建议用较新的 platform-tools老版本 adb 不支持adb pair会直接报未知命令。检查命令是adb version如果版本太旧去官方工具包更新别用某些来路不明的 adb 工具包。adb version adb kill-server adb start-server准备工作还包括确认电脑和设备在同一局域网。手机连着 Wi-Fi电脑也要连同一个 Wi-Fi不能一个连路由器访客网络一个连主网络。很多配对失败不是 adb 问题而是路由器开了 AP 隔离设备之间不能互相访问。如果家里有多个路由器或 Mesh 节点尽量让电脑和设备连同一个节点或者先用 ping 测试 IP 是否通。2.2 adb pair 和 adb connect 的完整命令设备端显示配对信息后在电脑上执行adb pair 192.168.1.50:37123回车后终端会提示输入配对码把设备屏幕上的六位数字输进去。配对成功会显示Successfully paired to 192.168.1.50:37123。注意这个 37123 是配对端口不是后面连接用的端口。配对完成后回到无线调试主页面查看“IP 地址和端口”比如显示192.168.1.50:44555然后执行adb connect 192.168.1.50:44555连接成功会显示connected to 192.168.1.50:44555。再用adb devices -l查看应该能看到设备序列号为192.168.1.50:44555状态是device。如果显示unauthorized说明设备端没有确认或者公钥没有写入。如果显示offline先adb disconnect再重新连接或者重启 adbd。配对码只需要一次配对成功后电脑的 adbkey 被设备记住后续只要无线调试还开着通常直接 connect 就行不需要每次输入配对码。adb devices -l adb -s 192.168.1.50:44555 shell getprop ro.build.version.release adb -s 192.168.1.50:44555 shell getprop ro.product.model如果你有多个设备必须用-s指定序列号否则 adb 会报more than one device/emulator。这在同时连着夜神模拟器、真机和电视盒子时很常见。夜神模拟器 adb 模式通常会占用 62001 或 62025 之类的端口真机无线调试又是另一个 IP:端口adb devices会列出好几行。用-s是最稳的不要靠拔线来区分。2.3 配对码的有效范围和过期逻辑配对码不是永久密码它只在配对对话框打开期间有效。如果你把对话框关了或者超过时间没输入配对码就作废需要重新点“使用配对码配对设备”生成新的。配对成功后设备端保存的是电脑公钥不是那六位数字。所以不要想着把配对码记下来长期用下一次不一定还能用。无线调试关闭再打开连接端口通常会变配对关系有时还在有时需要重新配对取决于系统实现和是否撤销过授权。在 Android 11 上无线调试开启后设备会通过 mDNS 广播_adb-tls-pairing._tcp和_adb-tls-connect._tcp服务。电脑端可以用adb mdns services查看当前局域网里的配对和连接服务。如果看不到可能是路由器屏蔽了 mDNS或者系统省电策略杀了相关服务。此时可以手动输入 IP:端口不一定非要依赖自动发现。对于老款创维电视这类设备如果没有无线调试菜单可能只能通过 USB 调试或工厂模式打开 5555那就得走后面的公钥白名单或端口敲门方案。adb mdns services还有一个容易踩的坑有些设备开启无线调试后USB 调试授权会被重置。你正在用 USB 连电脑打开无线调试后USB 连接变成 unauthorized。这不是坏了是系统切换认证状态。重新在屏幕上点允许 USB 调试即可。如果屏幕点不了先保证无线调试已配对成功再用无线连接执行命令。2.4 无屏设备怎么拿到配对端口电视盒子、车机、开发板如果没有触摸屏配对码操作会很麻烦。常见做法有两种。第一种是先用 USB 鼠标或遥控器模拟点击打开无线调试并触发配对。第二种是系统已经 root或者能通过串口登录直接读取和修改相关设置。Android 11 的无线调试服务由系统组件管理普通 shell 不一定能直接读出配对码但可以通过adb shell dumpsys相关服务查找。更实际的做法是先通过 USB 连接授权一次然后用 USB 执行adb tcpip 5555打开传统 TCP 调试再用电脑adb connect IP:5555。这条老路在 Android 11 上仍然可用只是安全性不如无线调试配对。adb usb adb tcpip 5555 adb connect 192.168.1.60:5555adb tcpip 5555需要设备已授权 USB 调试。执行后拔掉数据线设备会监听 5555 端口。此时任何知道 IP 的电脑都可能尝试连接所以一定要配合公钥白名单或防火墙。对于红米 K70 这类新机型开发者选项里可能还有“无线调试”和“USB 调试安全设置”开启后能限制未授权电脑。vivo 的 adb 精简列表操作也类似先授权再执行pm uninstall --user 0之类的命令但精简系统应用有风险不要随便删尤其是不确定用途的包。3. 持久方案adb 公钥白名单等于固定钥匙3.1 生成和查看电脑端 adbkeyadb 公钥认证的核心文件在电脑用户目录下。Windows 通常是%USERPROFILE%\.android\adbkey和%USERPROFILE%\.android\adbkey.pubLinux 和 macOS 是~/.android/adbkey和~/.android/adbkey.pub。如果文件不存在启动 adb 服务时会自动生成。你也可以手动生成但注意会覆盖旧密钥覆盖后之前设备信任的旧公钥就失效了需要重新授权。手动生成命令是adb keygen ~/.android/adbkeyWindows PowerShell 下可以写adb keygen $env:USERPROFILE\.android\adbkey生成后查看公钥内容cat ~/.android/adbkey.pub公钥是一行很长的字符串通常以QAAAA之类开头后面跟邮箱或标识。设备端信任的就是这一行。如果你有多台电脑每台电脑都有自己的 adbkey.pub想让它们都能连就要把每一行都追加到设备白名单。不要直接把私钥 adbkey 拷来拷去私钥泄露等于别人可以冒充你的电脑。需要给不同电脑发权限时让对方自己生成密钥把公钥给你你再追加。3.2 把公钥写入 /data/misc/adb/adb_keysAndroid 设备信任的公钥列表一般在/data/misc/adb/adb_keys。这个文件权限通常是 640属主 system:shellSELinux 上下文是 adb_keys_file。普通应用和普通 shell 没有权限写必须 root。如果你的设备已经 root或者能adb root可以这样操作adb root adb remount adb push ~/.android/adbkey.pub /data/local/tmp/adbkey.pub adb shell cat /data/local/tmp/adbkey.pub /data/misc/adb/adb_keys adb shell chmod 640 /data/misc/adb/adb_keys adb shell chown system:shell /data/misc/adb/adb_keys adb shell restorecon /data/misc/adb/adb_keys adb shell stop adbd; start adbd如果你用的是 Magisk rootadb root不一定可用可以进入adb shell后执行su -cadb shell su cat /data/local/tmp/adbkey.pub /data/misc/adb/adb_keys chmod 640 /data/misc/adb/adb_keys chown system:shell /data/misc/adb/adb_keys restorecon /data/misc/adb/adb_keys stop adbd start adbd注意不同 Android 版本、不同厂商的路径和权限可能略有差异。有的设备文件是/data/misc/adb/adb_keys有的是/data/misc/adb/adb_keys不存在但 adbd 会自动创建。写入前先备份原文件cp /data/misc/adb/adb_keys /data/local/tmp/adb_keys.bak重启 adbd 后电脑端执行adb kill-server再adb devices应该直接显示 device不再弹窗。如果还是 unauthorized检查公钥是否完整一行、有没有换行符问题、权限和 SELinux 是否正确。公钥文件里不要有空行和中文注释一行一个公钥即可。3.3 ro.adb.secure 和授权弹窗的取舍Android 系统里有一个ro.adb.secure属性通常为 1表示 adb 需要安全授权。如果把它改成 0任何电脑连上 adb 都不需要确认看似方便实则非常危险。除非是纯离线测试设备否则不要关。正确做法是保留 secure 为 1然后把可信公钥提前写入 adb_keys。这样既不用每次弹窗又不会让陌生电脑随便连。改ro.adb.secure通常需要修改系统镜像或 Magisk resetprop而且 Android 11 的只读属性处理更严格不一定成功。对于需要开机自动信任的测试机可以在 Magisk 模块的post-fs-data.sh或service.sh里追加公钥。热词里出现的/data/adb/modules/trickystore和/data/adb/modules_update/trickystore是模块目录结构说明你可以通过模块在系统启动早期执行脚本。但这里只建议用来管理自己的 adb 公钥和调试配置不要拿去做绕过授权、伪造证书之类的事。安全边界要清楚调试权限越大责任越大。3.4 多设备多钥匙怎么管理如果你管理多台设备每台设备都有自己的 adb_keys电脑也有自己的 adbkey。最乱的情况是A 电脑只被 A 设备信任B 电脑只被 B 设备信任C 电脑想连所有设备。解决办法是统一公钥来源或者用ADB_VENDOR_KEYS环境变量指定额外的密钥目录。adb 支持通过环境变量加载多个密钥文件但在 Android 11 上最终还是看设备端 adb_keys 里有没有对应公钥。对于团队测试机可以专门生成一套测试密钥把公钥批量写入所有测试设备电脑统一使用这套私钥。离职或项目结束时从设备 adb_keys 删除对应公钥重启 adbd 即可吊销。吊销步骤adb shell su vi /data/misc/adb/adb_keys删除对应那一行保存退出然后stop adbd start adbd电脑端再adb kill-server重新连接就会发现又需要授权。轮换密钥时先追加新公钥确认新电脑能连再删除旧公钥避免把自己锁在外面。如果你只有一台电脑且设备没有屏幕删除旧公钥前一定要确认新公钥可用否则可能只能线刷救砖代价很大。4. 盒子车机场景给 5555 端口加密码敲门4.1 为什么不要直接开放 5555Android 11 原生更推荐无线调试配对但很多电视盒子、车机、开发板没有完整无线调试界面或者系统被厂商裁剪只剩adbd的 5555 端口可用。5555 一旦开放同一个局域网内任何电脑执行adb connect IP:5555都可能连上。如果设备端ro.adb.secure1第一次会弹窗授权如果之前已经信任过某台电脑或者被改过 secure陌生电脑也可能直接拿到 shell。更麻烦的是有些人为了远程方便把 5555 端口映射到公网这等于把设备控制权放在互联网上风险极高。adb 权限几乎等于系统级权限能安装应用、读日志、改设置、传文件甚至执行高权限命令。所以底线是5555 只允许在可信内网使用默认拒绝所有来源需要时再临时放行。如果你非要“密码”效果可以做一个端口敲门adb 端口平时在防火墙里是关闭的只有先向一个敲门端口发送正确密码设备才临时放行你的 IP 访问 5555。这个密码不参与 adb 协议只是防火墙开关所以只能算轻量访问控制不能替代密钥白名单。它适合防止同网段误连和简单扫描不适合暴露公网。4.2 端口敲门脚本长什么样这个方案需要 root因为要操作 iptables 和长时间监听端口。思路是设备开机后默认禁止外部访问 5555一个后台脚本监听 60001 端口客户端先发密码脚本验证通过后用 iptables 给来源 IP 临时放行 5555倒计时结束后再删除规则。示例脚本仅用于自有设备内网实验#!/system/bin/sh PASSchange-this-strong-pass ADB_PORT5555 KNOCK_PORT60001 CLIENT_IP192.168.1.23 while true; do LINE$(toybox nc -l -p $KNOCK_PORT -w 10) if [ $LINE $PASS ]; then iptables -I INPUT -p tcp --dport $ADB_PORT -s $CLIENT_IP -j ACCEPT sleep 120 iptables -D INPUT -p tcp --dport $ADB_PORT -s $CLIENT_IP -j ACCEPT fi done把脚本放到/data/local/tmp/adb_knock.sh赋予执行权限用 root 后台运行su chmod 755 /data/local/tmp/adb_knock.sh nohup /data/local/tmp/adb_knock.sh 然后设置默认拒绝iptables -A INPUT -p tcp --dport 5555 -j DROP电脑端先敲门echo change-this-strong-pass | nc 192.168.1.60 60001然后立即连接adb connect 192.168.1.60:5555这个脚本有几个明显限制。第一密码是明文传输局域网抓包可能看到。第二toybox nc在不同 Android 版本上的参数支持不一样-w和-l -p可能不通用。第三iptables 规则顺序很重要ACCEPT 要插到 DROP 前面。第四设备重启后规则和脚本都要自动恢复建议放到 Magisk 模块的service.sh里。第五如果客户端 IP 不固定可以改成按来源网段放行但安全性会下降。更稳的做法还是只允许固定电脑 IP并且同时保留 adb 公钥白名单。4.3 iptables 白名单和随机端口更实用比起密码敲门固定 IP 白名单更简单可靠。假设你的电脑 IP 是 192.168.1.23设备只需要允许这个 IP 访问 5555iptables -A INPUT -p tcp --dport 5555 -s 192.168.1.23 -j ACCEPT iptables -A INPUT -p tcp --dport 5555 -j DROP如果设备支持修改 adb 端口还可以把默认 5555 换成不常用端口减少被扫描概率setprop service.adb.tcp.port 34567 stop adbd start adbd电脑连接时指定新端口adb connect 192.168.1.60:34567注意setprop service.adb.tcp.port只在当前启动周期有效重启后可能恢复默认或关闭。要持久化可以写在 init 脚本或 Magisk 模块里。关闭 TCP 调试可以设置回 -1setprop service.adb.tcp.port -1 stop adbd start adbd对于红米 K70 这类设备adb 冻结应用、禁止应用联网等操作通常通过pm disable-user、cmd appops set或pm revoke实现不一定需要 5555 常开。需要时开完事关这是最省心的安全习惯。不要把调试端口当成远程管理通道长期挂着尤其是车机和电视盒子它们往往常年通电端口暴露时间越长风险越大。4.4 和官方无线调试怎么取舍如果你设备是 Android 11 且有屏幕无线调试配对码已经能满足大部分“访问密码”需求而且不用 root风险更低。端口敲门和 iptables 白名单更适合没有无线调试菜单、必须用 5555 的盒子设备。两者也可以叠加无线调试负责日常连接5555 只在特殊场景临时打开并且加白名单。千万别为了省事把 5555 直接映射到公网再配一个简单密码这在安全上几乎等于没有防护。adb 不是为公网远程设计的任何公网暴露都可能被扫描到。5. 常见问题排查unauthorized、配对失败、端口消失5.1 adb unauthorized 速查表现象常见原因处理办法adb devices 显示 unauthorized设备屏幕未点允许看设备弹窗勾选始终允许并确认USB 能连无线 unauthorized无线配对未成功重新打开配对码执行 adb pair之前能连突然 unauthorized设备撤销授权或 adb_keys 被重置重新授权或写入公钥root 写入公钥后仍 unauthorized权限、SELinux、换行符问题检查 640 system:shellrestorecon确保一行完整多台电脑只有一台能连adb_keys 只有那台公钥追加其他电脑 adbkey.pubWindows 上一直弹窗驱动或 adb 版本旧更新 platform-tools 和厂商驱动adb unauthorized 是最常见的入门问题。解决顺序是先在设备屏幕上确认授权再检查电脑 adbkey 是否变化再检查设备 adb_keys 是否包含当前公钥。如果设备没有屏幕只能靠预先写入公钥。写入公钥时最容易犯的错是直接把 Windows 文本文件拖进去结果带了 BOM 或 CRLF导致公钥行无法识别。建议用adb push推到/data/local/tmp再用cat追加不要用记事本编辑后复制粘贴。5.2 无线调试配对失败怎么查配对失败先看网络。电脑和设备是否同一网段路由器是否开了 AP 隔离防火墙是否拦截了 adb 或 mDNS。可以先用ping 设备IP测试连通性再用adb mdns services看服务。如果 mDNS 看不到但你知道配对端口可以手动adb pair IP:端口。配对码要当场输入过期就重新生成。电脑端 adb 版本必须支持adb pair旧版本没有这个子命令。Windows 上还要注意防火墙首次弹窗要允许 adb 访问专用网络和公用网络。adb connect失败常见原因是端口写错。配对端口和连接端口不是一个端口配对成功后要用无线调试主页显示的连接端口。如果提示cannot connect to IP:port先确认设备无线调试还开着再确认端口是否变化。无线调试关闭再开端口通常会变需要重新查看。adb kill-server后重新adb start-server也能清掉旧状态。如果一直连不上可以先用 USB 执行adb tcpip 5555作为临时替代连上后再研究无线调试。5.3 连接成功后怎么验证权限连上设备后不要只看adb devices显示 device 就以为万事大吉最好执行几条权限验证命令。adb shell id看当前用户普通 adb 通常是 shellroot 设备可能能 su。adb shell getprop ro.build.version.release看系统版本确认是不是 Android 11。adb logcat -d log.txt抓一段日志验证日志读取权限。adb exec-out screencap -p screen.png截图验证屏幕读取。adb push和adb pull传文件验证存储权限。adb install安装一个测试 apk验证安装权限。adb shell input text hello可以测试 adb 键盘输入。adb shell dumpsys battery set usb 0这类命令能验证 dumpsys 权限。adb shell id adb logcat -d log.txt adb exec-out screencap -p screen.png adb push local.txt /sdcard/Download/local.txt adb pull /sdcard/Download/local.txt . adb install test.apk adb shell input text hello如果这些命令有的能执行有的报权限拒绝说明 adb 认证已经通过但具体命令受系统权限限制。比如普通 shell 不能直接改系统设置不能访问/data/misc/adb/adb_keys。需要 root 的操作必须用su。这也是为什么给 adb 加访问密码只是第一道门进门之后还有 Android 权限体系。不要以为连上 adb 就一定能删除系统应用或修改系统文件很多操作需要解锁 bootloader、刷 Magisk 或使用工程固件。5.4 设备端 adbd 重启和日志定位如果连接状态异常可以在设备端或通过已连接会话重启 adbd。普通用户没有权限直接 stop adbd但 root 可以adb shell su stop adbd start adbd重启后电脑端也要adb kill-server。如果无线调试连接断开重新执行 connect。查看 adbd 状态可以用getprop和psgetprop ro.adb.secure getprop service.adb.tcp.port ps -A | grep adbd如果service.adb.tcp.port是空的说明 TCP 调试没开。如果是 5555说明传统 TCP 开着。如果ro.adb.secure是 1说明需要授权。部分设备还有persist.adb.tcp.port或厂商自定义属性需要按设备实际修改。排查时别只盯着电脑端设备端属性、防火墙规则、SELinux 状态都会影响连接。6. 个人踩坑与安全维护清单6.1 密码不是万能密钥白名单更靠谱我最早也想找一个“adb 密码设置命令”后来发现原生 adbd 根本不支持。六位配对码是临时信任码不是长期密码。端口敲门密码只是防火墙开关明文传输容易被同网段看到。真正稳的还是公钥白名单把电脑的 adbkey.pub 写进设备设备只认这把钥匙其他电脑没有私钥就进不来。再配合无线调试配对码完成首次信任或者用 root 预置公钥基本就能做到既方便又可控。密码可以加一层心理安慰但别把它当唯一防线。多设备管理时建议给团队测试机单独生成一套 adbkey不要用个人日常电脑的密钥。私钥文件~/.android/adbkey不要随便拷贝到共享盘不要提交到代码仓库。如果电脑重装系统旧密钥丢失设备端白名单里的旧公钥就变成无效条目记得从 adb_keys 里清理。定期检查设备 adb_keys删除不再使用的公钥减少被旧设备或旧电脑意外连入的可能。对于电视盒子、车机这类长期在线设备最好把调试端口默认关闭需要时再通过遥控器或串口打开。6.2 用完就关别把调试端口留在公网adb 调试权限很大能安装应用、抓 logcat、传文件、截屏、模拟输入甚至修改系统设置。把 5555 暴露到公网就算有密码也可能被扫描和爆破。正确做法是只在可信内网使用用完执行adb disconnect 192.168.1.60:5555设备端如果不再需要 TCP 调试执行setprop service.adb.tcp.port -1 stop adbd start adbd无线调试也一样不用时在开发者选项里关闭。需要远程管理时优先在路由器或跳板机上做访问控制不要让设备直接对公网开放。对于企业测试机最好划分独立 VLAN只允许指定电脑访问。对于个人设备至少确保 Wi-Fi 是 WPA2 或 WPA3 加密不要连陌生开放网络开调试。6.3 自动化和长期维护的小建议如果你用脚本自动连接设备记得加超时和重试不要无限循环adb connect。Android 11 无线调试端口会变可以用adb mdns services解析服务再动态获取连接端口。传统 5555 方案要把端口固定同时用 iptables 白名单锁定来源 IP。Magisk 模块可以帮忙开机恢复脚本和规则但脚本内容要尽量简单避免在post-fs-data.sh里做耗时网络操作否则可能影响开机。日志里不要打印 adb 私钥和密码调试脚本也不要写死明文密码至少用环境变量或受限权限文件保存。最后再分享一个实际经验Android 11 的无线调试配对码很好用但它解决的是首次信任不是长期密码。真正想让 adb 访问受控组合拳是“官方配对完成首次授权 设备端 adb_keys 只保留可信公钥 防火墙只放行内网固定 IP 用完关闭调试端口”。我试过在电视盒子上只开 5555 加简单密码结果同网段抓包就能看到敲门密码后来还是老老实实做白名单和公钥。设备安全和日常便利之间要平衡但调试端口这种入口宁严勿松。