Android Exported: 如何设置Activity的安全性

一、如何设置Activity的exported属性

在AndroidManifest.xml文件中，Activity的exported属性可以将Activity设置为可外部访问。默认情况下，Activity的exported属性为false，即Activity只能在应用程序自身中进行访问。如果需要其他应用程序访问，可以将exported属性设置为true。

<activity
    android:name=".YourActivity"
    android:exported="true">
</activity>

二、如何判断Activity是否是exported的

如果当前Activity是exported的，那么其他应用程序可以通过隐式调用的方式来启动该Activity。因此，需要判断Activity是否是exported的。

可以通过PackageManager的getApplicationInfo方法获取当前应用程序的ApplicationInfo对象，然后通过其flags属性判断该应用程序是否包含exported Activity。

PackageManager pm = getPackageManager();
ApplicationInfo ai;
try {
    ai = pm.getApplicationInfo(getPackageName(), 
        PackageManager.GET_ACTIVITIES | PackageManager.GET_META_DATA);
    if ((ai.flags & ApplicationInfo.FLAG_EXPORTED) != 0) {
        // 包含exported Activity
    }
} catch (PackageManager.NameNotFoundException e) {
    e.printStackTrace();
}

三、如何避免Activity被恶意应用程序访问

如果当前Activity是exported的，那么其他应用程序可以利用它进行一些攻击，因此需要在应用程序中正确设置Activity的安全性以保障安全性。

1、通过权限来保障Activity的安全性

在AndroidManifest.xml文件中，可以通过设置 标签来限制其他应用程序的访问权限，这样即使其他应用程序能够访问该Activity，也需要满足权限才能执行相关操作。

<uses-permission android:name="com.example.permission" />
<activity
    android:name=".YourActivity"
    android:exported="true">
    <intent-filter>
        <action android:name="com.example.ACTION" />
        <category android:name="android.intent.category.DEFAULT" />
    </intent-filter>
</activity>

在代码中可以通过检查当前应用程序是否有相关的权限来判断是否具备访问该Activity的权限。

if (checkSelfPermission("com.example.permission")
        == PackageManager.PERMISSION_GRANTED) {
    // 具备访问权限
}

2、通过指定包名来限制访问者

在AndroidManifest.xml文件中，可以通过设置android:permission属性来限制访问某个Activity的应用程序必须要有指定的权限。

<permission android:name="com.example.PERMISSION" />
<activity
    android:name=".YourActivity"
    android:exported="true"
    android:permission="com.example.PERMISSION">
</activity>

在代码中可以通过检查当前访问者的包名是否满足条件来判断是否具备访问该Activity的权限。

if (getCallingPackage().equals("com.example")) {
    // 满足条件
}

3、通过设置权限保护级别来限制访问者

在AndroidManifest.xml文件中，可以通过设置protectionLevel属性来限制访问某个Activity的应用程序必须要具备指定的权限或签名。

<activity
    android:name=".YourActivity"
    android:exported="true">
    <intent-filter>
        <action android:name="com.example.ACTION" />
        <category android:name="android.intent.category.DEFAULT" />
    </intent-filter>
    <permission android:name="com.example.permission" />
    <!-- 或者使用下面的方式限制签名 -->
    <!-- android:protectionLevel="signature" /-->
</activity>

在代码中可以通过检查当前应用程序的证书或者权限来判断是否具备访问该Activity的权限。

if (checkCallingOrSelfPermission("com.example.permission")
        == PackageManager.PERMISSION_GRANTED) {
    // 具备访问权限
}

四、如何设置默认的Activity

在Android应用程序中，通常会有一个入口Activity，如果使用隐式调用启动该Activity，可能会存在多个匹配的Activity的情况。可以通过设置默认的Activity来解决这个问题。

可以在AndroidManifest.xml文件中设置标签来指定默认的Activity，这样在应用程序启动时会自动启动该Activity。

<activity android:name=".YourActivity">
    <intent-filter>
        <action android:name="android.intent.action.MAIN" />
        <category android:name="android.intent.category.DEFAULT" />
        <category android:name="android.intent.category.LAUNCHER" />
    </intent-filter>
</activity>

结论

设置Activity的安全性可以有效避免一些安全风险，通过设置权限、限制访问者、设置权限保护级别等方式可以保护应用程序的安全性。