📚 课程目录第4章快速开始

4. 快速开始：下载SDK，配置初始化，运行第一个合规检查示例

好了，废话不多说。这一章我们直接上手，跑通第一个合规检查。我个人习惯，学任何新东西都是先让它跑起来，再慢慢琢磨原理。你想想看，光看文档不动手，永远不知道坑在哪儿。

我们用的 SDK 是合规治理平台提供的 Java SDK，支持 JDK 8+。下面我带你走完从下载到输出结果的完整流程。整个过程大概 10 分钟，前提是你本地已经配好了 Maven 或 Gradle。

4.1 下载 SDK

SDK 托管在公司内部的 Maven 私服，当然你也可以从开源仓库拉。我个人推荐用稳定版（LTS），别追最新。我在项目里吃过亏，追新版本结果遇到不兼容的 API，排查了一整天。

在你的 pom.xml（Maven）或 build.gradle（Gradle）里加入以下依赖：

<!-- Maven -->
<dependency>
    <groupId>com.company.compliance</groupId>
    <artifactId>compliance-sdk</artifactId>
    <version>2.1.0.RELEASE</version>
</dependency>

// Gradle
implementation 'com.company.compliance:compliance-sdk:2.1.0.RELEASE'

小提示：如果你用的是 Gradle Kotlin DSL，把单引号换成双引号就行。我经常在 Kotlin 和 Groovy 之间切，容易忘。

执行 mvn dependency:resolve 或 gradle build --refresh-dependencies，确认依赖下载成功。

4.2 配置初始化参数

SDK 需要一个 ComplianceConfig 对象来启动。里面主要包含三样东西：API 地址、应用标识、密钥。这些信息从合规治理平台的后台申请，别写死在代码里，我建议放到配置中心或环境变量。

参数	说明	示例值
`endpoint`	合规服务 API 入口	`https://api.compliance.company.com`
`appKey`	应用唯一标识	`com.example.myapp`
`secret`	密钥（请妥善保管）	`sk-xxxxxxxxxxxxxxxx`

初始化代码非常简单：

ComplianceConfig config = ComplianceConfig.builder()
    .endpoint("https://api.compliance.company.com")
    .appKey("com.example.myapp")
    .secret("sk-xxxxxxxxxxxxxxxx")
    .build();

ComplianceClient client = ComplianceClientFactory.create(config);

注意：密钥不要直接提交到 Git 仓库！我见过有人把 GitHub 公开仓库里的密钥直接拿来用，结果被别人扫到，合规审计直接亮红灯。用 .gitignore 或者环境变量都是好办法。

4.3 运行第一个合规检查

最常见的合规检查是「隐私政策声明检查」。说白了，就是看你的 App 或者页面有没有把收集用户信息的目的、方式、范围说清楚。SDK 提供了一个 PrivacyPolicyCheck 类，直接调用就行。

示例代码：

// 构造检查请求
CheckRequest request = new CheckRequest()
    .setCheckType("PRIVACY_POLICY")
    .setContent("本应用会收集您的手机号、设备信息用于账号注册和安全风控。")
    .setPlatform("Android");

// 执行检查
ComplianceResult result = client.execute(request);

// 输出结果
System.out.println("合规状态: " + result.getStatus());
System.out.println("违规项数: " + result.getViolationCount());
result.getViolations().forEach(v -> {
    System.out.println(" - [" + v.getSeverity() + "] " + v.getDescription());
});

跑起来之后，你会在控制台看到类似下面的输出：

合规状态: PASS
违规项数: 0

// 或者有违规时：
合规状态: FAIL
违规项数: 2
 - [HIGH] 未明确说明数据存储期限
 - [MEDIUM] 权限声明缺少撤销途径

关键点：返回结果里 severity 分 HIGH、MEDIUM、LOW 三级。我习惯先修 HIGH 级别的，因为它们往往直接违反法律法规，Medium 可以放积压清单里排期。

4.4 常见问题与避坑

连接超时：检查 endpoint 是否可达，网络代理是否设置。我曾遇到客户内网需要走 HTTP 代理，忘了配置导致十分钟没跑通。
版本不匹配：SDK 2.x 和 1.x 的 API 有差异，初始化方法名都变了。用 2.x 就别拿 1.x 的文档对照。
密钥失效：密钥有有效期，过期后检查全部返回 401。建议在调用前先调一个 client.healthCheck() 验证连通性。
缺少 Gson/Fastjson 依赖：SDK 内部用 JSON 序列化，如果项目没有引入相关库可能会报 NoClassDefFoundError。加一行 compile 'com.google.code.gson:gson:2.9.0' 就能解决。

4.5 整体流程一览

下面这张图把「快速开始」的步骤串起来了。你可以对照着走，每一步都不落。

你按照图上的顺序操作，不出意外应该几分钟内就能见到第一个检查结果。嗯，这里要注意的是：如果返回 status 为 FAIL，别慌，逐条看 violations 里的描述，大部分都是文本不符合规范，改改文案就好。

好了，这一节就到这儿。去试试吧，把第一个检查跑通，你就算是入门了。后面我们再深入讲配置调优、批处理、自定义检查规则这些内容。