Android权限限制INSTALL_REFERRER播放商店

Question

我正在使用自定义分析（而不是谷歌分析）设置活动跟踪，并为此设置接收器。我的接收器似乎在工作，但当我安装时，我收到一个android lint警告：

ExportedReceiver: Receiver does not require permission

它看起来像任何旧的Android应用程序可以调用我的应用程序与com.android.vending.INSTALL_REFERRER意图，我不希望。应该只有谷歌应用商店（或任何其他Android系统应用程序，将安装我的应用程序从play store）发送该意图到我的应用程序。

因此，我试图找出如何设置将有效应用程序限制在play store的权限，但根据文档，我无法找到正确的权限设置方法：

https://developer.android.com/guide/topics/manifest/permission-element.html

有人能帮我设置一个权限，将我的应用程序接受此意图的应用程序限制到play store吗？以下是我当前的接收器配置：

    <receiver
            android:name=".referrals.MyCampaignTrackingReceiver"
            android:enabled="true"
            android:exported="true">
        <intent-filter>
            <action android:name="com.android.vending.INSTALL_REFERRER"/>
        </intent-filter>
    </receiver>

我尝试将接收器的权限设置为normal级别，但这阻止了应用程序从playstore接收意图。

Answer 1

INSTALL_REFERRER广播许可不是一个大问题。假设你知道你只需要在安装后处理一次这个广播，并且你采取措施只处理一次，攻击者将不得不知道你的应用程序何时安装，并以某种方式在Playstore应用程序之前发送这个广播，这似乎不太可能。

Answer 2

您需要在接收器上设置android:permission属性。所以它看起来像这样：

<receiver
        android:name=".referrals.MyCampaignTrackingReceiver"
        android:enabled="true"
        android:exported="true"
        android:permission="android.permission.CLEAR_APP_CACHE">
    <intent-filter>
        <action android:name="com.android.vending.INSTALL_REFERRER"/>
    </intent-filter>
</receiver>

这里"android.permission.CLEAR_APP_CACHE"的用法是任意的，您可以使用Play Store拥有的任何权限，并且第三方应用程序不可能拥有（因为CLEAR_APP_CACHE的保护级别仅为系统|签名系统应用或使用与声明此权限的应用程序相同的证书签名的应用程序；在本例中为平台）。例如，查看Play Store的清单表明，com.android.vending.permission.C2D_MESSAGE可能是另一个很好的候选。

希望这有帮助。