专用广播发送方和接收方权限

Question

我最近使用HPFortify服务对我的Android源代码做了一次代码扫描。他们报告了一个广播接收器和发送器的安全漏洞。广播发送器和接收器是应用程序内部的，而意图不是发送到应用程序外部的。这些主要用于内部交流。HPFortify建议使用广播者权限来减少攻击矢量。这样你就限制了broadcaster，否则任何恶意应用程序都可以发送意图，而broadcast receiver将处理它。类似地，他们建议使用接收者许可，以便广播的意图被预期的接收者接收。这个广播器和接收器是应用程序内部的，其他应用程序不使用这个意图。以下是Broadcaster的实际代码：

 Intent updatedIntent = new Intent("SOME-ACTION");
 Context context = getAppContext();
 context.sendBroadcast(updatedIntent);

我正在使用以下代码段动态注册广播接收器。

this.registerReceiver(updatedReceiver,
new IntentFilter("SOME-ACTION"));

HPFortify建议使用sendbroadcast和权限字符串示例：

Intent updatedIntent = new Intent("SOME-ACTION");
Context context = getAppContext();
context.sendBroadcast(updatedIntent, "SOME-PERMISSION");

this.registerReceiver(updatedReceiver,
    new IntentFilter("SOME-ACTION"),
    "SOME-PERMISSION", null);

Answer 1

如果需要在应用程序内广播，则使用LocalBroadCastManager，因为local broadcast manager从不在当前进程之外发送广播意图。

如果您希望其他应用程序能够接收或发送您的广播，则使用BroadCastManager，并且您需要应用uses-permission（自定义用户权限）。

有关更多信息，请参阅下面的Android广播接收机文档，他们在安全部分提供了关于安全性的详细信息。