首先表明态度，私有API仅供研究，不能在AppStore上架，苹果在review guide里也明确禁止使用私有API。当然，如果你是企业版，觉得无所谓，可以拿来使用，暂时不知道企业版发布的app，被苹果检测到使用了私有API会有什么后果。
下面介绍几个在探索私有API时常用的方法
1.加载／卸载framework
很多私有API不在public的framework里，这时候我们就要通过path加载出framework，加载完成之后，才能通过类名创建对象，注意使用动态加载framework的方法，需要手动卸载，使用该framework中的类，需要在卸载操作之前。
#import
//加载framework
void *FTServicesHandle = dlopen("/System/Library/PrivateFrameworks/FTServices.framework/FTServices", RTLD_LAZY);
//卸载framework
dlclose(FTServicesHandle);
2.获取类的所有方法
当我们知道这个类的时候，需要知道所有的方法，才能取根据方法名猜测改方法的功能，下面就是在runtime中获取一个类的所有方法的代码。
#import
unsigned int count;
Method *methods = class_copyMethodList([self class], &count);
for (int i = 0; i < count; i++) {
Method method = methods[i];
SEL selector = method_getName(method);
NSString *name = NSStringFromSelector(selector);
NSLog(@"->%@",name);
}
3.调用私有API的方法
调用私有API可以直接通过performSelector，但我们都知道performSelector的限制，没有返回值，这样我们如果想拿到一个类的属性，就比较麻烦。下面介绍一种我的使用方法，现在不知道会出现什么问题，还请大佬帮忙review，大概逻辑就是使用protocol定义相应的属性和方法，已获取手机上已安装的app为例(仅在iOS11以前生效)，介绍这个方法。
相关的类有：LSApplicationWorkspace和LSApplicationProxy，定义LSApplicationProxy_JTAppProtocol和LSApplicationWorkspace_JTAppProtocol两个协议，里面的方法和属性分别和上面两个类的方法和属性对应，名字和返回值都一致。
@protocol LSApplicationProxy_JTAppProtocol
+ (instancetype)applicationProxyForIdentifier:(NSString*)identifier;
@property (nonatomic, readonly) NSString *localizedShortName;
@property (nonatomic, readonly) NSString *localizedName;
@property (nonatomic, readonly) NSString *bundleId;
@property (nonatomic, readonly) NSArray *appTags;
@end
@protocol LSApplicationWorkspace_JTAppProtocol
- (NSArray *)allInstalledApplications;
@end
使用的方法也很简单，用id
@interface JTAppService ()
@property (nonatomic, strong) id applicationWorkspace;
@end
@implementation JTAppService
+ (instancetype)sharedInstance {
static dispatch_once_t once;
static id sharedInstance;
dispatch_once(&once, ^{
sharedInstance = [[self alloc] init];
});
return sharedInstance;
}
- (instancetype)init {
if(self = [super init]) {
self.applicationWorkspace = [[NSClassFromString(@"LSApplicationWorkspace") alloc] init];
}
return self;
}
- (NSArray *)readInstalledApplicationNames {
NSArray *allInstalledApplications = [self.applicationWorkspace allInstalledApplications];
NSMutableArray *allApplicationNames = [NSMutableArray arrayWithCapacity:allInstalledApplications.count];
for(id proxy in allInstalledApplications) {
if([[proxy appTags] indexOfObject:@"hidden"] != NSNotFound) {
[allApplicationNames addObject:proxy.localizedName ?: proxy.localizedShortName];
}
}
return allApplicationNames;
}
@end
4.代码混淆
代码混淆说起来不是私有API研究中的一项，但很多人看到私有API的功能之后，想用上，又不想被AppStore的review reject，那要么用热更新动态下发代码，要么就走代码混淆方案，混淆也很简单，方法就是用ASCII码的char型数组表示想混淆的字符串，当然混淆之后也有风险，慎用！！！
#define LSApplicationWorkspaceChar (char[]){0x4c,0x53,0x41,0x70,0x70,0x6c,0x69,0x63,0x61,0x74,0x69,0x6f,0x6e,0x57,0x6f,0x72,0x6b,0x73,0x70,0x61,0x63,0x65,'\0'}
self.applicationWorkspace = [[NSClassFromString([NSString stringWithUTF8String:LSApplicationWorkspaceChar]) alloc] init];
总结
私有API的研究方法很简单，难点在于如何找到相关功能的framework和类名，知道了这些，就可以取出方法名和属性，然后就是一个一个猜测，然后试，需要兼容所有机型和系统版本，是一个比较大的工作量，建议只做研究，不上线。
参考
[iOS]私有API的使用-焚雪残阳
ZIKCellularAuthorization