Нужны ли root-права?

Нет, и это не компромисс, а особенность самого механизма. Android с самого начала предусматривает фиктивные местоположения для разработки и тестирования: система разрешает одному выбранному приложению регистрировать тестовые провайдеры и записывать в них координаты, а дальше раздаёт эти координаты всем, кто спрашивает местоположение обычным способом.

Приложение при этом не вмешивается в чужие процессы и не переписывает системные библиотеки — оно пользуется официально предоставленной возможностью, которую вы сами включили в настройках разработчика. Поэтому ни разблокированный загрузчик, ни Magisk, ни Xposed не нужны.

Единственное, что принципиально добавляет вмешательство в прошивку, — возможность скрыть сам факт подмены: убрать служебный признак «фиктивный источник», по которому приложения могут отличить подставленные координаты от настоящих. Всё остальное штатный механизм умеет и без root.

Цена этой возможности высокая: слетает гарантия, часть банковских приложений и сервисов перестаёт запускаться из-за проверок целостности системы, обновления прошивки перестают ставиться штатно, а неудачная прошивка способна оставить телефон нерабочим. Mock Location работает строго в рамках штатного механизма и этот путь не поддерживает.

Практический вывод: без root подмена честно видна тем приложениям, которые захотят её увидеть. Карты, погода, поиск ближайших точек, собственные приложения в разработке и тестировании — работают. Сервисы, для которых геолокация служит подтверждением факта (доставка, учёт рабочего времени, геозависимые бонусы), — как правило, нет, и это их осознанный выбор, а не недоработка. Подробнее — в материале про подмену без root и в вопросе о том, почему приложение видит реальные координаты.