diff --git a/wechat_pad_login/LESSONS.md b/wechat_pad_login/LESSONS.md
new file mode 100644
index 0000000..abad64a
--- /dev/null
+++ b/wechat_pad_login/LESSONS.md
@@ -0,0 +1,255 @@
+# WeChat 平板登录 LSPosed Hook 经验与教训
+
+目标：在 Pixel 10 Pro Fold (Android 16, WeChat 8.0.74, LSPosed JingMatrix Vector v1.11.0) 上
+开启「以平板和手机同时登录」(LoginAsExDeviceUI)。
+
+**结果：成功。**
+
+---
+
+## 一、微信内部架构（逆向所得）
+
+### 平板白名单判断链路
+
+```
+LoginHistoryUI.initView()
+  └ if (bk.A() || bk.Q())          ← 两个静态方法
+        ↓ true → this.N.setVisibility(VISIBLE)
+                  this.N.setOnClickListener(new m4(this))
+                  m4.onClick → l.h(activity, "login_exdevice", ".ui.LoginAsExDeviceUI")
+
+bk.A()  = inTabletEnv() 缓存层，调 bk.B(new x0(new bk$.b()))
+bk.B()  = 实际判断：widthDp >= 600 || OEM 品牌白名单
+bk.Q()  = isFoldableDevice()：Samsung SM-F9*/SM-W* / Huawei HWTAH/HWTET / ZTE / Motorola / Royole
+           → Pixel 全部返回 false
+```
+
+### Activity 层次（返回用户路径）
+
+```
+LoginPasswordUI  (classes14.dex，密码输入屏：头像+手机号+密码框)
+  extends LoginHistoryUI  (classes.dex，平板按钮在此，字段 N)
+    extends MMActivity
+      extends Activity
+```
+
+`LoginPasswordUI` 是「已保存账号」的用户重新打开微信时看到的界面，
+不是 `LoginUI` 也不是 `MobileInputUI`——这是早期调查走弯路的主因。
+
+### 各 DEX 分布（多 DEX 查找方法）
+
+WeChat 8.0.74 有 classes.dex～classes16.dex 共 16 个 DEX，重要类分布：
+
+| 类 | DEX |
+|---|---|
+| `LoginHistoryUI` | classes.dex (主 DEX) |
+| `LoginPasswordUI` | classes14.dex |
+| `bk` (inTabletEnv) | classes13.dex |
+| `m4` (click listener) | classes5.dex |
+
+查找命令：
+```bash
+python3 -c "
+import struct, sys
+data = open('classes14.dex','rb').read()
+# 解析 DEX string table，搜 LoginPasswordUI
+..." 
+```
+
+---
+
+## 二、踩过的坑（按时间顺序）
+
+### 坑 1：误判登录界面是 LoginUI / MobileInputUI
+
+**现象**：hook 注册成功，但 afterHookedMethod 从不触发。  
+**原因**：实际前台 Activity 是 `LoginPasswordUI`，而非 `LoginUI` 或 `MobileInputUI`。  
+**教训**：**先用 `dumpsys activity top` 确认实际 Activity，再决定 hook 什么。**
+
+```bash
+adb shell "dumpsys activity top | grep 'ACTIVITY com.tencent' | head -3"
+```
+
+### 坑 2：bk.A() / bk.Q() hook 注册成功但从不在目标调用点触发
+
+**现象**：`[WeChatHook] Hooked bk.A()` 日志出现，但 `bk.A() -> TRUE` 从不出现（在某些调用方）。  
+**原因**：ART AOT 把 `bk.A()` / `bk.Q()` 这类小静态方法**内联进调用方的 native 代码**。
+调用方（`LoginHistoryUI.initView()` 的 AOT 产物）里没有 `invoke-static bk.A()`，
+而是直接内联了布尔判断逻辑，完全绕过了 Xposed 替换的 ArtMethod 入口。  
+**教训**：**AOT 内联对小静态方法（<10 字节码指令）非常激进，不能假设 hook 会在所有调用点生效。**
+
+实测：`bk.A()` hook 在部分调用路径有效（`initView()` 内），在其他调用方可能已被内联。
+
+### 坑 3：虚方法 hook（initView / onCreate）全部不触发
+
+**尝试过**：
+- `LoginHistoryUI.initView()`
+- `LoginPasswordUI.initView()`
+- `LoginPasswordUI.onCreate(Bundle)`
+- `LoginHistoryUI.onCreate(Bundle)`
+
+**全部注册成功，全部 afterHookedMethod 不触发。**
+
+**根本原因（已确认）**：
+
+`LoginHistoryUI.onCreate()` 的 AOT 编译代码内含对 `this.initView()` 的调用。
+ART AOT 编译器做了 **devirtualize**（去虚化）：把 `invoke-virtual this.initView()` 编译成
+对 `LoginPasswordUI.initView` native 地址的直接 native branch，跳过了 vtable 查找，
+也跳过了 Xposed 替换的 ArtMethod `entry_point_from_quick_compiled_code_` 字段。
+
+同理，`invoke-super` 调用（`LoginPasswordUI.initView()` 里的 `super.initView()`）
+AOT 后也是直接 native 跳转。
+
+**即使 hook 注册在 Activity 启动之前完成，只要 caller 的 native 代码里嵌了直接地址，
+hook 就不会被触发。**
+
+**教训**：
+- **在重度 AOT 的 App（WeChat）里，不能依赖对虚方法的 Xposed hook。**
+- 区分「hook 注册成功」和「hook 实际拦截」——两者完全不同。
+- 判断方式：在 `beforeHookedMethod` 加日志，如果从不出现，就是拦截失败。
+
+### 坑 4：XposedHelpers.newInstance 子类类型不匹配
+
+**现象**：`NoSuchMethodError: m4(com.tencent.mm.plugin.account.ui.LoginPasswordUI)`  
+**原因**：`XposedHelpers.newInstance(m4Class, obj)` 按 `obj` 的**运行时类型**（`LoginPasswordUI`）
+查构造函数，但 `m4` 的构造函数签名是 `m4(LoginHistoryUI)`，找不到匹配。  
+**修复**：显式传 `parameterTypes`：
+
+```java
+Class<?> loginHistoryUIClass = XposedHelpers.findClass(
+        "com.tencent.mm.plugin.account.ui.LoginHistoryUI",
+        obj.getClass().getClassLoader());
+XposedHelpers.newInstance(m4Class, new Class<?>[]{loginHistoryUIClass}, obj);
+```
+
+**教训**：`XposedHelpers.newInstance` 变参版本按运行时类型匹配，遇到子类实例传父类参数构造函数时必须用显式 `Class<?>[]` 重载。
+
+---
+
+## 三、最终有效的两层策略
+
+### 层 1：静态方法 hook（主路径）
+
+```java
+XposedHelpers.findAndHookMethod(bkClass, "A", new XC_MethodHook() {
+    protected void beforeHookedMethod(MethodHookParam param) {
+        param.setResult(Boolean.TRUE);
+    }
+});
+```
+
+静态方法不走 vtable，Xposed 替换 ArtMethod 入口后，**只要 caller 没有内联该方法**，
+调用点就能被拦截。实测 `LoginHistoryUI.initView()` 的 AOT 代码里对 `bk.A()` 的调用
+没有被内联（方法体不够小），所以 hook 有效。这让 `initView()` 走到了「显示按钮」分支，
+按钮获得 VISIBLE + m4 listener，这是主路径成功的原因。
+
+### 层 2：框架基类方法 hook（保底）
+
+```java
+XposedHelpers.findAndHookMethod("android.app.Activity", null, "onResume", new XC_MethodHook() {
+    protected void afterHookedMethod(MethodHookParam param) {
+        String cls = param.thisObject.getClass().getName();
+        if (!cls.equals("com.tencent.mm.plugin.account.ui.LoginPasswordUI")) return;
+        // 强制按钮可见 + 绑 listener
+    }
+});
+```
+
+**核心原理**：Android framework 的 `Activity.onResume()` 是**跨 APK 的 virtual dispatch**，
+由 `ActivityThread`（framework 进程）调用，不可能被 WeChat 自身的 AOT 编译内联。
+因此，hook `android.app.Activity` 里的基类方法并用 `classLoader=null`（bootstrap CL），
+其 afterHookedMethod **在所有 Activity 子类的 onResume 上必然触发**。
+
+通过 class name 过滤只处理目标 Activity，再访问目标字段/方法。
+
+**此策略适用于任何重度 AOT App 里「hook 不触发」的场景。**
+
+---
+
+## 四、通用原则（可复用）
+
+### 原则 1：先确认当前 Activity
+
+```bash
+adb shell "dumpsys activity top | grep 'ACTIVITY com.目标包名' | head -3"
+```
+
+WeChat 的「已登录账号重新打开」和「首次登录」走完全不同的 Activity 栈。
+
+### 原则 2：区分「静态方法」和「虚方法」的 hook 可靠性
+
+| 方法类型 | AOT 内联风险 | hook 可靠性 |
+|---|---|---|
+| 静态方法（小，< ~15 指令） | 高（被调用方内联） | 不稳定 |
+| 静态方法（较大） | 低 | 较稳定 |
+| 虚方法（被 App 内 AOT 调用） | 高（devirtualize） | **不可靠** |
+| 框架基类方法（跨 APK 调用） | 不可能 | **稳定** |
+
+### 原则 3：添加诊断探针确认 hook 是否真的触发
+
+不要假设 hook 在触发——用 `beforeHookedMethod` 加日志。
+如果日志出现，hook 触发；如果不出现，调查内联/devirtualize。
+
+```java
+XposedHelpers.findAndHookMethod("android.app.Activity", null, "onResume", new XC_MethodHook() {
+    protected void beforeHookedMethod(MethodHookParam param) {
+        String cls = param.thisObject.getClass().getName();
+        if (cls.contains("目标包名")) {
+            XposedBridge.log("[Hook] PROBE onResume: " + cls);
+        }
+    }
+});
+```
+
+### 原则 4：遇到「虚方法 hook 不触发」时的替代路径
+
+1. **用框架基类方法 hook**：`Activity.onCreate/onResume/onStart`，过滤 class name
+2. **改 hook 静态工厂/单例**：有时可以找到不被内联的静态入口
+3. **DEX bytecode patch**：直接修改 DEX 字节码绕开 AOT（复杂，需要清 OAT 缓存）
+4. **force interpret-only**：`adb shell cmd package compile -m interpret-only <pkg>`，
+   解除 AOT 但性能下降明显
+
+### 原则 5：LSPosed modules_config.db 更新流程
+
+安装新 APK 后，LSPosed 的 SQLite DB 里 `apk_path` 不自动更新，需要手动更新：
+
+```bash
+# 1. 更新 apk_path
+adb shell "su -c 'python3 -c \"import sqlite3; db=sqlite3.connect(...); db.execute(...); db.commit()\"'"
+# 2. WAL checkpoint（让 lspd 进程读到新数据）
+# 3. 确认 scope 里有目标包名
+# 4. reboot
+```
+
+---
+
+## 五、文件说明
+
+| 文件 | 说明 |
+|---|---|
+| `WeChatHook.java` | 最终可用的 Xposed 模块源码 |
+| `rebuild.sh` | 编译 → D8 dex → 打包 → 签名，产物 `wechathook_v2_signed.apk` |
+| `update_db.sh` | 更新 LSPosed modules_config.db 的 apk_path + scope |
+| `LESSONS.md` | 本文档 |
+
+### 快速部署
+
+```bash
+# 前提：LSPosed legacy JAR 已构建，设备已 root 且已安装 com.example.wechathook
+bash rebuild.sh
+ADB=/path/to/adb $ADB install -r --no-incremental wechathook_v2_signed.apk
+bash update_db.sh
+adb reboot
+```
+
+---
+
+## 六、WeChat 更新后的维护指引
+
+`bk`、`m4`、`LoginHistoryUI`、`LoginPasswordUI`、`m4` 这些混淆类名在版本更新时可能改变。
+
+排查流程：
+1. `adb pull /data/app/.../base.apk`，用 jadx 反编译
+2. 搜 `inTabletEnv` / `isFoldableDevice` / `SM-F9` 找新的 `bk` 等价类
+3. 搜 `login_exdevice` 找平板登录跳转的 click listener
+4. 更新 `WeChatHook.java` 里的类名和字段名
diff --git a/wechat_pad_login/WeChatHook.java b/wechat_pad_login/WeChatHook.java
new file mode 100644
index 0000000..aa4a2d3
--- /dev/null
+++ b/wechat_pad_login/WeChatHook.java
@@ -0,0 +1,222 @@
+package com.example.wechathook;
+
+import android.app.Activity;
+import android.content.Intent;
+import android.os.Bundle;
+import android.view.View;
+import de.robv.android.xposed.IXposedHookLoadPackage;
+import de.robv.android.xposed.XC_MethodHook;
+import de.robv.android.xposed.XposedBridge;
+import de.robv.android.xposed.XposedHelpers;
+import de.robv.android.xposed.callbacks.XC_LoadPackage;
+
+/**
+ * WeChatHook: 在 Pixel 10 Pro Fold (Android 16 / WeChat 8.0.74) 上开启「以平板登录」选项。
+ *
+ * 目标：LoginPasswordUI（密码登录屏）里有一个隐藏的平板登录按钮（字段 N），
+ *       由 LoginHistoryUI.initView() 在 `if (bk.A() || bk.Q())` 为 true 时显示。
+ *       Pixel 的品牌/型号不在微信白名单内，两者均返回 false。
+ *
+ * 双保险策略：
+ *   1. hookInTabletEnv: 直接 hook bk.A()/bk.B() 返回 true。
+ *      静态方法不走 vtable，AOT 编译后仍可被 Xposed 拦截（若调用方没有将其内联）。
+ *      实测：bk.A() hook 在 initView() 的 AOT 编译调用路径上有效，
+ *      使 initView() 自动显示按钮并绑好 m4 click listener。
+ *
+ *   2. hookTabletButtonViaOnResume: hook Android 框架的 Activity.onResume()，
+ *      过滤 LoginPasswordUI，在 onResume 时强制将按钮设为 VISIBLE。
+ *      框架跨 APK 调用不可能被 WeChat 的 AOT 内联，所以这个 hook 必然触发。
+ *      兜底：即使 bk.A() hook 在某些 call site 被 AOT 内联绕过，onResume hook 也能补救。
+ */
+public class WeChatHook implements IXposedHookLoadPackage {
+
+    @Override
+    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) throws Throwable {
+        if (!"com.tencent.mm".equals(lpparam.packageName)) return;
+        XposedBridge.log("[WeChatHook] Injected into WeChat " + lpparam.processName);
+        ClassLoader cl = lpparam.classLoader;
+        hookInTabletEnv(cl);
+        hookTabletButtonViaOnResume(cl);
+        hookMobileInputUI(cl);
+        hookLoginUI(cl);
+        hookLoginSelectUICheck(cl);
+        hookWelcomeButtonClick(cl);
+    }
+
+    // 策略 1: hook bk.A()/bk.B() 直接返回 true。
+    // 静态方法没有 vtable，Xposed 的 ArtMethod 入口替换对静态调用有效。
+    // bk.A() = inTabletEnv() 缓存层；bk.B(x0) = 实际逻辑。
+    private void hookInTabletEnv(ClassLoader cl) {
+        try {
+            Class<?> bkClass = XposedHelpers.findClass("com.tencent.mm.ui.bk", cl);
+            Class<?> x0Class = XposedHelpers.findClass("bm5.x0", cl);
+            XposedHelpers.findAndHookMethod(bkClass, "B", x0Class, new XC_MethodHook() {
+                @Override
+                protected void beforeHookedMethod(MethodHookParam param) {
+                    param.setResult(Boolean.TRUE);
+                }
+            });
+            XposedHelpers.findAndHookMethod(bkClass, "A", new XC_MethodHook() {
+                @Override
+                protected void beforeHookedMethod(MethodHookParam param) {
+                    XposedBridge.log("[WeChatHook] bk.A() -> TRUE");
+                    param.setResult(Boolean.TRUE);
+                }
+            });
+            XposedBridge.log("[WeChatHook] Hooked bk.A()/bk.B()");
+        } catch (Throwable t) {
+            XposedBridge.log("[WeChatHook] hookInTabletEnv failed: " + t);
+        }
+    }
+
+    // 策略 2: hook Activity.onResume()，过滤 LoginPasswordUI / LoginHistoryUI，
+    // 强制 this.N 可见并绑定 m4 click listener。
+    //
+    // 关键发现：WeChat 的虚方法（initView/onCreate）被 AOT devirtualize 成 native 直跳，
+    // Xposed 的 ArtMethod 入口替换被绕过，hook 注册成功但回调永远不触发。
+    // 而 Android 框架调 Activity.onResume() 是跨 APK 的 virtual dispatch，
+    // 不可能被 WeChat 自身的 AOT 编译内联，所以这里的 hook 稳定触发。
+    //
+    // 类层次：LoginPasswordUI extends LoginHistoryUI extends MMActivity extends Activity
+    // 平板按钮：LoginHistoryUI.N (Button, resource id 2131312963)
+    // Click listener：m4(LoginHistoryUI) → l.h(loginUI, "login_exdevice", ".ui.LoginAsExDeviceUI")
+    private void hookTabletButtonViaOnResume(ClassLoader cl) {
+        try {
+            final Class<?> m4Class = XposedHelpers.findClass(
+                    "com.tencent.mm.plugin.account.ui.m4", cl);
+
+            XposedHelpers.findAndHookMethod(
+                    "android.app.Activity", null, "onResume", new XC_MethodHook() {
+                @Override
+                protected void afterHookedMethod(MethodHookParam param) throws Throwable {
+                    String cls = param.thisObject.getClass().getName();
+                    if (!cls.equals("com.tencent.mm.plugin.account.ui.LoginPasswordUI")
+                            && !cls.equals("com.tencent.mm.plugin.account.ui.LoginHistoryUI")) {
+                        return;
+                    }
+                    Object obj = param.thisObject;
+                    View tabletBtn = null;
+                    try {
+                        tabletBtn = (View) XposedHelpers.getObjectField(obj, "N");
+                    } catch (Throwable e) {
+                        XposedBridge.log("[WeChatHook] getField N failed: " + e);
+                        return;
+                    }
+                    if (tabletBtn == null) {
+                        XposedBridge.log("[WeChatHook] N is null for " + cls);
+                        return;
+                    }
+                    tabletBtn.setVisibility(View.VISIBLE);
+                    try {
+                        // XposedHelpers.newInstance 按运行时类型查找构造函数，
+                        // obj 运行时类型是 LoginPasswordUI，但 m4 构造函数接收 LoginHistoryUI。
+                        // 必须显式传 parameterTypes 才能匹配到正确的构造函数。
+                        Class<?> loginHistoryUIClass = XposedHelpers.findClass(
+                                "com.tencent.mm.plugin.account.ui.LoginHistoryUI",
+                                obj.getClass().getClassLoader());
+                        tabletBtn.setOnClickListener(
+                                (View.OnClickListener) XposedHelpers.newInstance(
+                                        m4Class, new Class<?>[]{loginHistoryUIClass}, obj));
+                    } catch (Throwable e) {
+                        XposedBridge.log("[WeChatHook] setListener failed: " + e);
+                    }
+                    XposedBridge.log("[WeChatHook] onResume -> N VISIBLE for " + cls);
+                }
+            });
+            XposedBridge.log("[WeChatHook] Hooked Activity.onResume (tablet button)");
+        } catch (Throwable t) {
+            XposedBridge.log("[WeChatHook] hookTabletButtonViaOnResume failed: " + t);
+        }
+    }
+
+    // 兜底：MobileInputUI 是首次登录流程里的手机号输入界面，也有平板按钮（字段 w）
+    private void hookMobileInputUI(ClassLoader cl) {
+        try {
+            final Class<?> wbClass = XposedHelpers.findClass(
+                    "com.tencent.mm.plugin.account.ui.wb", cl);
+            XposedHelpers.findAndHookMethod(
+                    "com.tencent.mm.plugin.account.ui.MobileInputUI", cl,
+                    "initView", new XC_MethodHook() {
+                @Override
+                protected void afterHookedMethod(MethodHookParam param) throws Throwable {
+                    Object obj = param.thisObject;
+                    View btn = (View) XposedHelpers.getObjectField(obj, "w");
+                    if (btn == null) return;
+                    btn.setVisibility(View.VISIBLE);
+                    btn.setOnClickListener(
+                            (View.OnClickListener) XposedHelpers.newInstance(wbClass, obj));
+                    XposedBridge.log("[WeChatHook] MobileInputUI.w VISIBLE");
+                }
+            });
+        } catch (Throwable t) {
+            XposedBridge.log("[WeChatHook] hookMobileInputUI failed: " + t);
+        }
+    }
+
+    // 兜底：LoginUI 是通过 WelcomeActivity → 登录按钮 进入的界面，平板按钮字段 f992u
+    private void hookLoginUI(ClassLoader cl) {
+        try {
+            final Class<?> g7Class = XposedHelpers.findClass(
+                    "com.tencent.mm.plugin.account.ui.g7", cl);
+            XposedHelpers.findAndHookMethod(
+                    "com.tencent.mm.plugin.account.ui.LoginUI", cl,
+                    "initView", new XC_MethodHook() {
+                @Override
+                protected void afterHookedMethod(MethodHookParam param) throws Throwable {
+                    Object obj = param.thisObject;
+                    View btn = (View) XposedHelpers.getObjectField(obj, "f992u");
+                    if (btn == null) return;
+                    btn.setVisibility(View.VISIBLE);
+                    btn.setOnClickListener(
+                            (View.OnClickListener) XposedHelpers.newInstance(g7Class, obj));
+                    XposedBridge.log("[WeChatHook] LoginUI.f992u VISIBLE");
+                }
+            });
+        } catch (Throwable t) {
+            XposedBridge.log("[WeChatHook] hookLoginUI failed: " + t);
+        }
+    }
+
+    // 拦截 LoginSelectUI 的服务端品牌校验回调，阻止服务端隐藏「phone_and_pad」选项
+    private void hookLoginSelectUICheck(ClassLoader cl) {
+        try {
+            Class<?> callbackClass = XposedHelpers.findClass(
+                    "com.tencent.mm.plugin.account.ui.LoginSelectUI$a", cl);
+            XposedHelpers.findAndHookMethod(callbackClass, "a", boolean.class, new XC_MethodHook() {
+                @Override
+                protected void beforeHookedMethod(MethodHookParam param) {
+                    param.args[0] = false;
+                    XposedBridge.log("[WeChatHook] LoginSelectUI$a.a -> false");
+                }
+            });
+            XposedBridge.log("[WeChatHook] Hooked LoginSelectUI$a.a()");
+        } catch (Throwable t) {
+            XposedBridge.log("[WeChatHook] hookLoginSelectUICheck failed: " + t);
+        }
+    }
+
+    // 兜底：WelcomeActivity 的登录按钮（lj）直接跳 LoginSelectUI 而非 LoginPasswordUI
+    private void hookWelcomeButtonClick(ClassLoader cl) {
+        try {
+            Class<?> ljClass = XposedHelpers.findClass(
+                    "com.tencent.mm.plugin.account.ui.lj", cl);
+            final Class<?> loginSelectUIClass = XposedHelpers.findClass(
+                    "com.tencent.mm.plugin.account.ui.LoginSelectUI", cl);
+            XposedHelpers.findAndHookMethod(ljClass, "onClick", View.class, new XC_MethodHook() {
+                @Override
+                protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
+                    Activity welcome = (Activity) XposedHelpers.getObjectField(
+                            param.thisObject, "d");
+                    Intent intent = new Intent(welcome, loginSelectUIClass);
+                    intent.putExtra("mobile_input_purpose", 1);
+                    welcome.startActivity(intent);
+                    param.setResult(null);
+                    XposedBridge.log("[WeChatHook] lj.onClick -> LoginSelectUI");
+                }
+            });
+            XposedBridge.log("[WeChatHook] Hooked lj.onClick()");
+        } catch (Throwable t) {
+            XposedBridge.log("[WeChatHook] hookWelcomeButtonClick failed: " + t);
+        }
+    }
+}
diff --git a/wechat_pad_login/rebuild.sh b/wechat_pad_login/rebuild.sh
new file mode 100755
index 0000000..20d6086
--- /dev/null
+++ b/wechat_pad_login/rebuild.sh
@@ -0,0 +1,89 @@
+#!/bin/bash
+# rebuild_wechathook.sh — compile WeChatHook, repackage into com.example.wechathook APK
+# Uses the existing APK from device as a base (preserves binary AndroidManifest).
+set -e
+
+SCRIPT_DIR="$(cd "$(dirname "$0")" && pwd)"
+ADB="${ADB:-$SCRIPT_DIR/../platform-tools/adb}"
+[ ! -f "$ADB" ] && ADB=adb
+
+ANDROID_HOME="${ANDROID_HOME:-/opt/homebrew/share/android-commandlinetools}"
+ANDROID_JAR="$ANDROID_HOME/platforms/android-36/android.jar"
+D8="$ANDROID_HOME/build-tools/36.0.0/d8"
+APKSIGNER="$ANDROID_HOME/build-tools/36.0.0/apksigner"
+LSPOSED_DIR="${LSPOSED_DIR:-/tmp/LSPosed}"
+LEGACY_JAR="$LSPOSED_DIR/legacy/build/intermediates/compile_library_classes_jar/release/bundleLibCompileToJarRelease/classes.jar"
+
+if [ ! -f "$LEGACY_JAR" ]; then
+  echo "LSPosed legacy JAR not found at $LEGACY_JAR"
+  echo "Run: git clone --depth 1 --recursive https://github.com/JingMatrix/LSPosed.git $LSPOSED_DIR && cd $LSPOSED_DIR && ./gradlew :legacy:assembleRelease"
+  exit 1
+fi
+
+BUILD_DIR=/tmp/wechathook_rebuild
+rm -rf "$BUILD_DIR"
+mkdir -p "$BUILD_DIR/compiled" "$BUILD_DIR/dex" "$BUILD_DIR/pack/assets"
+
+# Pull current APK from device to reuse its binary AndroidManifest and resources.arsc
+echo "== Pulling current wechathook APK from device =="
+WH_PATH=$($ADB shell "pm path com.example.wechathook 2>/dev/null | tr -d '\r' | sed 's/package://'" 2>/dev/null)
+if [ -z "$WH_PATH" ]; then
+  echo "ERROR: com.example.wechathook not installed on device"
+  exit 1
+fi
+$ADB shell "su -c \"cp $WH_PATH /data/local/tmp/wh_base.apk && chmod 644 /data/local/tmp/wh_base.apk\""
+$ADB pull /data/local/tmp/wh_base.apk "$BUILD_DIR/pack/base.apk" 2>/dev/null
+
+# Extract AndroidManifest and resources from existing APK
+cd "$BUILD_DIR/pack" && unzip -o base.apk AndroidManifest.xml resources.arsc -d . > /dev/null 2>&1
+rm -f base.apk
+
+echo "== Compiling WeChatHook.java =="
+javac --release 11 \
+  -classpath "$ANDROID_JAR:$LEGACY_JAR" \
+  -d "$BUILD_DIR/compiled" \
+  "$SCRIPT_DIR/WeChatHook.java"
+
+echo "== Converting to DEX =="
+$D8 \
+  --classpath "$ANDROID_JAR" \
+  --classpath "$LEGACY_JAR" \
+  --min-api 27 \
+  --output "$BUILD_DIR/dex" \
+  $(find "$BUILD_DIR/compiled/com/example/wechathook" -name "*.class")
+
+echo "== Packing APK =="
+cp "$BUILD_DIR/dex/classes.dex" "$BUILD_DIR/pack/"
+# Put xposed_init in assets/ (required by lspd) AND root (belt+suspenders)
+echo "com.example.wechathook.WeChatHook" > "$BUILD_DIR/pack/assets/xposed_init"
+echo "com.example.wechathook.WeChatHook" > "$BUILD_DIR/pack/xposed_init"
+
+cd "$BUILD_DIR/pack"
+zip -0 wechathook.apk AndroidManifest.xml resources.arsc classes.dex xposed_init 2>/dev/null || true
+zip -0 wechathook.apk assets/xposed_init
+
+# Sign
+if [ ! -f /tmp/debug.keystore ]; then
+  keytool -genkey -v -keystore /tmp/debug.keystore -alias androiddebugkey \
+    -keyalg RSA -keysize 2048 -validity 10000 \
+    -storepass android -keypass android \
+    -dname "CN=Android Debug,O=Android,C=US" 2>/dev/null
+fi
+
+echo "== Signing =="
+OUT="$SCRIPT_DIR/wechathook_v2_signed.apk"
+$APKSIGNER sign \
+  --ks /tmp/debug.keystore \
+  --ks-key-alias androiddebugkey \
+  --ks-pass pass:android \
+  --key-pass pass:android \
+  --out "$OUT" \
+  "$BUILD_DIR/pack/wechathook.apk" 2>/dev/null
+
+echo "== Done: $OUT =="
+echo "APK size: $(wc -c < "$OUT") bytes"
+echo ""
+echo "Next steps:"
+echo "  adb install -r --no-incremental $OUT"
+echo "  bash $SCRIPT_DIR/update_wechathook_db.sh"
+echo "  adb reboot"
diff --git a/wechat_pad_login/update_db.sh b/wechat_pad_login/update_db.sh
new file mode 100755
index 0000000..8c957a6
--- /dev/null
+++ b/wechat_pad_login/update_db.sh
@@ -0,0 +1,51 @@
+#!/bin/bash
+# update_wechathook_db.sh — 重装 wechathook APK 后更新 LSPosed modules_config.db
+set -e
+
+ADB="${ADB:-$(dirname "$0")/../platform-tools/adb}"
+[ ! -f "$ADB" ] && ADB=adb
+
+TERMUX_PY=/data/data/com.termux/files/usr/bin/python3
+NEW_PATH=$($ADB shell 'pm path com.example.wechathook' | tr -d '\r' | sed 's/package://')
+echo "New APK path: $NEW_PATH"
+
+# Phase 1: in-place UPDATE via Python (WAL commit visible to running lspd)
+$ADB shell "su -c \"$TERMUX_PY -c \\\"
+import sqlite3
+db = sqlite3.connect('/data/adb/lspd/config/modules_config.db')
+db.execute(\\\\\\\"UPDATE modules SET apk_path='${NEW_PATH}' WHERE module_pkg_name='com.example.wechathook'\\\\\\\")
+db.commit()
+try:
+    db.execute('PRAGMA wal_checkpoint(TRUNCATE)')
+except:
+    pass
+db.close()
+print('phase1 done')
+\\\"\"" 2>&1
+
+# Phase 2: pull + checkpoint locally + push clean main file
+$ADB shell 'su -c "cp /data/adb/lspd/config/modules_config.db /data/local/tmp/mc_wh.db && cp /data/adb/lspd/config/modules_config.db-wal /data/local/tmp/mc_wh.db-wal 2>/dev/null; chmod 644 /data/local/tmp/mc_wh.db /data/local/tmp/mc_wh.db-wal 2>/dev/null; true"'
+$ADB pull /data/local/tmp/mc_wh.db /tmp/mc_wh.db 2>/dev/null
+$ADB pull /data/local/tmp/mc_wh.db-wal /tmp/mc_wh.db-wal 2>/dev/null || true
+sqlite3 /tmp/mc_wh.db "PRAGMA wal_checkpoint(TRUNCATE);" 2>/dev/null || true
+
+ACTUAL=$(sqlite3 /tmp/mc_wh.db "SELECT apk_path FROM modules WHERE module_pkg_name='com.example.wechathook';")
+echo "Verified path: $ACTUAL"
+
+$ADB push /tmp/mc_wh.db /data/local/tmp/mc_wh_clean.db
+$ADB shell 'su -c "cp /data/local/tmp/mc_wh_clean.db /data/adb/lspd/config/modules_config.db && rm -f /data/adb/lspd/config/modules_config.db-wal /data/adb/lspd/config/modules_config.db-shm && echo phase2 done"'
+
+# Phase 3: verify scope (mid=18, com.tencent.mm)
+MID=$(sqlite3 /tmp/mc_wh.db "SELECT mid FROM modules WHERE module_pkg_name='com.example.wechathook';")
+echo "mid: $MID"
+SCOPE=$(sqlite3 /tmp/mc_wh.db "SELECT count(*) FROM scope WHERE mid=$MID AND app_pkg_name='com.tencent.mm';")
+if [ "$SCOPE" -eq 0 ]; then
+    echo "scope missing — inserting mid=$MID → com.tencent.mm"
+    sqlite3 /tmp/mc_wh.db "INSERT OR REPLACE INTO scope (mid, app_pkg_name, user_id) VALUES ($MID, 'com.tencent.mm', 0);"
+    $ADB push /tmp/mc_wh.db /data/local/tmp/mc_wh_scope.db
+    $ADB shell "su -c 'cp /data/local/tmp/mc_wh_scope.db /data/adb/lspd/config/modules_config.db && rm -f /data/adb/lspd/config/modules_config.db-wal /data/adb/lspd/config/modules_config.db-shm && echo scope fixed'"
+else
+    echo "scope OK (mid=$MID, com.tencent.mm exists)"
+fi
+
+echo "DB updated. Reboot required."