Android Exported: 如何設置Activity的安全性

Android中的Activity是應用程序的核心組件之一，作為應用程序的入口，Activity通常會有幾種啟動方式，其中一種就是通過exported屬性將Activity設置為外部可訪問。如果不正確設置Activity的安全性，會有潛在的安全風險。本文將從多個方面詳細闡述如何設置Activity的安全性以保障應用程序的安全性。

一、如何設置Activity的exported屬性

在AndroidManifest.xml文件中，Activity的exported屬性可以將Activity設置為可外部訪問。默認情況下，Activity的exported屬性為false，即Activity只能在應用程序自身中進行訪問。如果需要其他應用程序訪問，可以將exported屬性設置為true。

<activity
    android:name=".YourActivity"
    android:exported="true">
</activity>

二、如何判斷Activity是否是exported的

如果當前Activity是exported的，那麼其他應用程序可以通過隱式調用的方式來啟動該Activity。因此，需要判斷Activity是否是exported的。

可以通過PackageManager的getApplicationInfo方法獲取當前應用程序的ApplicationInfo對象，然後通過其flags屬性判斷該應用程序是否包含exported Activity。

PackageManager pm = getPackageManager();
ApplicationInfo ai;
try {
    ai = pm.getApplicationInfo(getPackageName(), 
        PackageManager.GET_ACTIVITIES | PackageManager.GET_META_DATA);
    if ((ai.flags & ApplicationInfo.FLAG_EXPORTED) != 0) {
        // 包含exported Activity
    }
} catch (PackageManager.NameNotFoundException e) {
    e.printStackTrace();
}

三、如何避免Activity被惡意應用程序訪問

如果當前Activity是exported的，那麼其他應用程序可以利用它進行一些攻擊，因此需要在應用程序中正確設置Activity的安全性以保障安全性。

1、通過權限來保障Activity的安全性

在AndroidManifest.xml文件中，可以通過設置標籤來限制其他應用程序的訪問權限，這樣即使其他應用程序能夠訪問該Activity，也需要滿足權限才能執行相關操作。

<uses-permission android:name="com.example.permission" />
<activity
    android:name=".YourActivity"
    android:exported="true">
    <intent-filter>
        <action android:name="com.example.ACTION" />
        <category android:name="android.intent.category.DEFAULT" />
    </intent-filter>
</activity>

在代碼中可以通過檢查當前應用程序是否有相關的權限來判斷是否具備訪問該Activity的權限。

if (checkSelfPermission("com.example.permission")
        == PackageManager.PERMISSION_GRANTED) {
    // 具備訪問權限
}

2、通過指定包名來限制訪問者

在AndroidManifest.xml文件中，可以通過設置android:permission屬性來限制訪問某個Activity的應用程序必須要有指定的權限。

<permission android:name="com.example.PERMISSION" />
<activity
    android:name=".YourActivity"
    android:exported="true"
    android:permission="com.example.PERMISSION">
</activity>

在代碼中可以通過檢查當前訪問者的包名是否滿足條件來判斷是否具備訪問該Activity的權限。

if (getCallingPackage().equals("com.example")) {
    // 滿足條件
}

3、通過設置權限保護級別來限制訪問者

在AndroidManifest.xml文件中，可以通過設置protectionLevel屬性來限制訪問某個Activity的應用程序必須要具備指定的權限或簽名。

<activity
    android:name=".YourActivity"
    android:exported="true">
    <intent-filter>
        <action android:name="com.example.ACTION" />
        <category android:name="android.intent.category.DEFAULT" />
    </intent-filter>
    <permission android:name="com.example.permission" />
    <!-- 或者使用下面的方式限制簽名 -->
    <!-- android:protectionLevel="signature" /-->
</activity>

在代碼中可以通過檢查當前應用程序的證書或者權限來判斷是否具備訪問該Activity的權限。

if (checkCallingOrSelfPermission("com.example.permission")
        == PackageManager.PERMISSION_GRANTED) {
    // 具備訪問權限
}

四、如何設置默認的Activity

在Android應用程序中，通常會有一個入口Activity，如果使用隱式調用啟動該Activity，可能會存在多個匹配的Activity的情況。可以通過設置默認的Activity來解決這個問題。

可以在AndroidManifest.xml文件中設置標籤來指定默認的Activity，這樣在應用程序啟動時會自動啟動該Activity。

<activity android:name=".YourActivity">
    <intent-filter>
        <action android:name="android.intent.action.MAIN" />
        <category android:name="android.intent.category.DEFAULT" />
        <category android:name="android.intent.category.LAUNCHER" />
    </intent-filter>
</activity>

結論

設置Activity的安全性可以有效避免一些安全風險，通過設置權限、限制訪問者、設置權限保護級別等方式可以保護應用程序的安全性。