谷歌推出AndroidX Security State和Security State Provider库，让应用能够在单个组件级别验证Android设备的安全补丁状态，而不再依赖单一的、面向整个设备的安全补丁日期。该机制为安全关键型消费应用（如银行、金融科技、医疗保健）以及移动设备管理（MDM）解决方案提供了更细粒度、更灵活的编程式校验能力。

安全补丁级别（SPL）原本是涵盖整套系统软件栈的整体性补丁编号。新库定义了三种补丁级别：设备SPL直接从运行中的系统查询，无需网络访问，表示当前已安装的补丁级别；已发布SPL表示谷歌针对给定组件官方发布的最新补丁级别；可用SPL表示可在特定设备上下载安装的补丁级别。在组件层面，该库可区分核心Android操作系统（系统）、通过谷歌Play更新的操作系统子系统（系统模块）以及内核。

借助这三种补丁级别的组件级展示，开发者和企业可准确掌握设备安全状况、识别缺失补丁并主动修复。例如，银行和企业应用可在允许敏感操作前，用设备SPL与可用SPL确认设备安全，要求用户先安装特定系统组件更新，而非简单拒绝请求；也可在执行安全敏感操作前检查NFC、蓝牙等特定组件相关CVE的补丁状态。

该库提供聚合当前设备数据、发现各系统组件待处理安全更新的函数，可检查特定CVE是否已打补丁、判断设备是否已安装所有可用安全补丁，并生成安全公告与CVE详情的标准链接。配套的Security State Provider库面向OEM，标准化更新客户端向应用通知更新可用的方式，使应用无需区分更新来自谷歌Play、谷歌OTA客户端还是OEM专有客户端。