AGP сливает Manifest библиотек и app; конфликты tools:node/replace/remove решают приоритет; итоговый merged manifest видно в build outputs.
Разбор
- Библиотека может добавить permissions неожиданно — аудируйте merged.
- tools:ignore для lint, не для безопасности.
- exported конфликты часто всплывают при upgrade SDK.
- Проверяйте merged Manifest в CI на чувствительные permission.
Итог
Merged Manifest — источник истины после сборки всех модулей.
