Activity

• AndroidMainfest 配置 android:exported="false", 其它應用不可以調(diào)用
• 檢測棧頂 Activity, 防止頁面被劫持
• WebView 加載網(wǎng)頁發(fā)生證書認證錯誤時, 會調(diào)用 WebViewClient 類的 onReceivedSslError 方法, 如果該方法實現(xiàn)調(diào)用了 handler.proceed() 來忽略該證書錯誤, 則會受到中間人攻擊的威脅, 可能導致隱私泄露。當發(fā)生證書認證錯誤時, 采用默認的處理方法 handler.cancel(), 停止加載頁面

    mWebView.getSettings().setJavaScriptEnabled(true);
    mWebView.addJavascriptInterface(new JsBridge(mContext), JS_OBJECT);
    mWebView.loadUrl("http://www.xxxx.com/");
    mWebView.setWebViewClient(new WebViewClient() {
        @Override
        public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {
            handler.proceed(); // 忽略SSL證書錯誤(錯誤做法)
            handler.cancel();  // 停止加載頁面(正確做法)
        }
    });

• WebView 檢查是否明文保存密碼, 使用 WebView.getSettings().setSavePassword(false) 來禁止保存密碼
• WebView 檢測是否使用 addJavascriptInterface 接口, 如果使用了需要將 minSdkVersion 提升至 17 (Android 4.2), 或者使用一些第三方的庫來解決注入漏洞

BroadcastReceiver

• 使用 LocalBroadcastManager 處理應用內(nèi)部的廣播
• 應用間使用廣播, 通過自定義權(quán)限和設(shè)置 android:protectionLevel, 同時要避免敏感數(shù)據(jù)的傳遞
• 不要使用 sendStickyBroadcast、sendStickyXXX 等 Android SDK 文檔中明確說明了存在安全問題的 API

Service

• AndroidMainfest 配置 android:exported="false", 其它應用不可以調(diào)用
• 通過 Intent.getXXXExtra() 獲取數(shù)據(jù)時進行以下判斷, 以及用 try catch 捕獲所有異常, 以防止應用出現(xiàn)拒絕服務漏洞

1. 空指針異常
2. 類型轉(zhuǎn)換異常
3. 數(shù)組越界訪問異常
4. 類未定義異常
5. 其他異常

ContentProvider

• 定義了私有權(quán)限, 但是沒有定義私有權(quán)限的級別, 或者定義的權(quán)限級別不夠, 導致惡意應用只要聲明這個權(quán)限就能夠訪問到相應的 Content Provider 提供的數(shù)據(jù), 造成數(shù)據(jù)泄露
• 當 Content Provider 的數(shù)據(jù)源是 SQLite 數(shù)據(jù)庫時, 如果實現(xiàn)不當, 而 Provider 又是暴露的話, 則可能會引發(fā)本地 SQL 注入漏洞
• 防止目錄遍歷漏洞, 去除 Content Provider 中沒有必要的 openFile() 接口, 過濾限制跨域訪問, 對訪問的目標文件的路徑進行有效判斷
• 正確的定義私有權(quán)限

<permission android:description="string resource"
            android:icon="drawable resource"
            android:label="string resource"
            android:name="string"
            android:permissionGroup="string"
            android:protectionLevel=["normal" | "dangerous" | "signature" | "signatureOrSystem"] />

android:protectionLevel 參數(shù)說明

• 參考鏈接：Android安全開發(fā)之Provider組件安全

我的博客即將搬運同步至騰訊云+社區(qū)，邀請大家一同入駐：https://cloud.tencent.com/developer/support-plan?invite_code=593nbbkwdbbe