┌─────────────────────────────────┐
│        Tầng Hiển thị (UI)       │  ← Activity, Fragment, View
├─────────────────────────────────┤
│        Tầng Xử lý (Logic)       │  ← Business logic, Workflow, Entities
├─────────────────────────────────┤
│        Tầng Dữ liệu (Data)      │  ← SQLite, SharedPreferences, Remote API
└─────────────────────────────────┘

┌──────────────────────────────────────────┐
│              Applications                │  ← Java/Kotlin apps
├──────────────────────────────────────────┤
│          Application Framework           │  ← Activity Mgr, Content Providers...
├────────────────────┬─────────────────────┤
│      Libraries     │   Android Runtime   │  ← C/C++ libs | Dalvik VM + Core Libs
├────────────────────┴─────────────────────┤
│              Linux Kernel                │  ← Drivers, IPC, Security, Memory Mgmt
└──────────────────────────────────────────┘

MyApp/
├── app/
│   ├── src/
│   │   ├── main/
│   │   │   ├── java/com/example/myapp/   ← Mã nguồn Java/Kotlin
│   │   │   ├── res/
│   │   │   │   ├── layout/               ← File XML bố cục UI
│   │   │   │   ├── values/               ← strings.xml, colors.xml, styles.xml
│   │   │   │   └── drawable/             ← Hình ảnh, icon (nhiều density)
│   │   │   └── AndroidManifest.xml       ← Mô tả ứng dụng
│   └── build.gradle                      ← Cấu hình build (dependencies, ProGuard)
└── build.gradle                          ← Project-level build config

<?xml version="1.0" encoding="utf-8"?>
<manifest xmlns:android="http://schemas.android.com/apk/res/android"
    package="com.example.myapp"
    android:versionCode="1"
    android:versionName="1.0">

    <!-- SDK version constraints -->
    <uses-sdk android:minSdkVersion="21" android:targetSdkVersion="34" />

    <!-- Permissions khai báo tại đây -->
    <uses-permission android:name="android.permission.INTERNET" />
    <uses-permission android:name="android.permission.WRITE_EXTERNAL_STORAGE" />

    <application
        android:icon="@drawable/ic_launcher"
        android:label="@string/app_name"
        android:theme="@style/AppTheme"
        android:allowBackup="true">

        <!-- Activity chính -->
        <activity android:name=".MainActivity" android:label="@string/app_name">
            <intent-filter>
                <action android:name="android.intent.action.MAIN" />
                <category android:name="android.intent.category.LAUNCHER" />
            </intent-filter>
        </activity>

        <!-- Broadcast Receiver ví dụ -->
        <receiver
            android:name=".MyReceiver"
            android:exported="false"
            android:enabled="true">
            <intent-filter>
                <action android:name="android.intent.action.BOOT_COMPLETED" />
            </intent-filter>
        </receiver>

    </application>
</manifest>

public class MusicService extends Service {
    @Override
    public int onStartCommand(Intent intent, int flags, int startId) {
        // Xử lý lệnh phát nhạc
        return START_STICKY; // Hệ thống tự restart service nếu bị kill
    }

    @Override
    public IBinder onBind(Intent intent) {
        return null; // null nếu không cần bound service
    }
}

public class BootReceiver extends BroadcastReceiver {
    @Override
    public void onReceive(Context context, Intent intent) {
        if (Intent.ACTION_BOOT_COMPLETED.equals(intent.getAction())) {
            // Khởi động lại service sau khi thiết bị boot
        }
    }
}

// Query danh bạ (cần permission READ_CONTACTS)
Cursor cursor = getContentResolver().query(
    ContactsContract.Contacts.CONTENT_URI,
    null, null, null, null
);

/data/data/<applicationId>/
├── databases/    ← SQLite database files
├── shared_prefs/ ← SharedPreferences XML files
├── files/        ← Internal file storage
└── cache/        ← Cache files

<!-- Đọc/ghi external storage (cần từ Android 6.0+: runtime permission) -->
<uses-permission android:name="android.permission.WRITE_EXTERNAL_STORAGE" />
<uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE" />

public class DatabaseHelper extends SQLiteOpenHelper {
    private static final String DB_NAME = "app.db";
    private static final int DB_VERSION = 1;

    public DatabaseHelper(Context context) {
        super(context, DB_NAME, null, DB_VERSION);
    }

    @Override
    public void onCreate(SQLiteDatabase db) {
        db.execSQL(
            "CREATE TABLE users (" +
            "id INTEGER PRIMARY KEY AUTOINCREMENT, " +
            "username TEXT UNIQUE NOT NULL, " +
            "password_hash TEXT NOT NULL)"
        );
    }

    @Override
    public void onUpgrade(SQLiteDatabase db, int oldVersion, int newVersion) {
        db.execSQL("DROP TABLE IF EXISTS users");
        onCreate(db);
    }
}

// ĐÚNG: Parameterized query — tránh SQL Injection
String[] args = { username };
Cursor cursor = db.rawQuery(
    "SELECT * FROM users WHERE username = ?", args
);

// SAI: String concatenation — dễ bị SQL Injection
// db.rawQuery("SELECT * FROM users WHERE username = '" + username + "'", null);

.class files ──► ProGuard ──► .dex tối ưu và obfuscated
                    │
                    ├── Shrink: Loại bỏ code/resource không dùng
                    ├── Optimize: Tối ưu bytecode
                    └── Obfuscate: Đổi tên class/method/field → khó reverse

android {
    buildTypes {
        release {
            minifyEnabled true       // Bật shrink + obfuscate
            shrinkResources true     // Loại bỏ resource không dùng
            useProguard true
            proguardFiles getDefaultProguardFile('proguard-android.txt'),
                         'proguard-rules.pro'
        }
        debug {
            minifyEnabled true      // Có thể bật để test
            useProguard false       // Tắt obfuscate khi debug để dễ đọc stack trace
            proguardFiles getDefaultProguardFile('proguard-android.txt'),
                         'proguard-rules.pro'
        }
    }
}

# Giữ nguyên tên class Android Activity (framework cần tên chính xác)
-keep class * extends android.app.Activity

# Giữ nguyên tất cả class của Facebook SDK
-keep class com.facebook.** { *; }

# Giữ nguyên cho thư viện Google
-keep class com.google.** { *; }

# Giữ nguyên Support Library
-keep class androidx.** { *; }
-keep interface androidx.** { *; }

# Quan trọng: Giữ các class dùng với Gson (serialization dựa trên reflection)
-keepattributes Signature
-keepattributes *Annotation*
-keep class sun.misc.Unsafe { *; }

# Giữ native method declarations
-keepclasseswithmembernames class * {
    native <methods>;
}

# Loại bỏ log trong release build (tốt cho bảo mật)
-assumenosideeffects class android.util.Log {
    public static * v(...);
    public static * d(...);
    public static * i(...);
}

# Suppress warnings cho thư viện không cần thiết
-dontwarn okio.**
-dontwarn javax.annotation.**

// SAI: Lưu password vào SharedPreferences plaintext
SharedPreferences prefs = getSharedPreferences("auth", MODE_PRIVATE);
prefs.edit().putString("password", userPassword).apply();

// ĐÚNG: Dùng Android Keystore + EncryptedSharedPreferences
MasterKey masterKey = new MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build();

SharedPreferences encryptedPrefs = EncryptedSharedPreferences.create(
    context, "secret_prefs", masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
);

// SAI: Trust all certificates (thường thấy khi dev lazy fix SSL error)
TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {
        public void checkClientTrusted(X509Certificate[] chain, String authType) {}
        public void checkServerTrusted(X509Certificate[] chain, String authType) {}
        public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[]{}; }
    }
};
// → Toàn bộ TLS protection bị vô hiệu hóa → MITM trivial

// ĐÚNG: Certificate Pinning với OkHttp
OkHttpClient client = new OkHttpClient.Builder()
    .certificatePinner(new CertificatePinner.Builder()
        .add("api.example.com", "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=")
        .build())
    .build();

<!-- SAI: Activity exported = có thể bị gọi từ bất kỳ app nào -->
<activity android:name=".AdminActivity" android:exported="true" />

<!-- ĐÚNG: Thêm permission check -->
<activity android:name=".AdminActivity"
    android:exported="true"
    android:permission="com.example.ADMIN_PERMISSION" />

import java.security.MessageDigest;
import java.security.SecureRandom;
import java.util.Base64;

public class PasswordUtils {

    // Tạo salt ngẫu nhiên
    public static String generateSalt() {
        SecureRandom random = new SecureRandom();
        byte[] salt = new byte[16];
        random.nextBytes(salt);
        return Base64.getEncoder().encodeToString(salt);
    }

    // Hash password với salt dùng SHA-256
    // (Thực tế production nên dùng BCrypt/Argon2)
    public static String hashPassword(String password, String salt) throws Exception {
        MessageDigest md = MessageDigest.getInstance("SHA-256");
        md.update(Base64.getDecoder().decode(salt));
        byte[] hash = md.digest(password.getBytes("UTF-8"));
        return Base64.getEncoder().encodeToString(hash);
    }

    // Kiểm tra password
    public static boolean verifyPassword(String inputPassword,
                                          String storedHash,
                                          String storedSalt) throws Exception {
        String inputHash = hashPassword(inputPassword, storedSalt);
        return inputHash.equals(storedHash);
    }
}

CREATE TABLE users (
    id INTEGER PRIMARY KEY AUTOINCREMENT,
    username TEXT UNIQUE NOT NULL,
    password_hash TEXT NOT NULL,
    salt TEXT NOT NULL,
    created_at INTEGER DEFAULT (strftime('%s', 'now'))
);