本文分析 RootHide 越狱隐藏机制。原版 Dopamine 固定 /var/jb 路径且全进程注入，易被检测。RootHide 通过随机 jbroot 路径、iOS 沙盒阻止枚举、选择性注入三重防护实现隐藏：黑名单 App 走原版 posix_spawn，不注入 dylib、不 hook 函数，进程空间完全干净；路径翻译在用户态完成，无需 bind mount。结论是黑名单进程内检测越狱结构性不可行，防线应移至服务端风控与行为分析。