移动应用安全开发指南(Android)--Android组件和IPC

注：如果IE浏览器显示格式不正确，请使用chrome浏览器。

附录：

3、SQLite防止SQL注入漏洞方案

11.1.1、使用SQLiteDatabase对象自带的防SQL注入的方法，比如query(),insert(),update和delete()：

DatabaseHelper dbhelper = new DatabaseHelper(SqliteActivity.this,"sqliteDB");

SQLiteDatabase db = dbhelper.getReadableDatabase();

/*查询操作，userInputID和userInputName是用户可控制的输入数据 */

Cursor cur = db.query("user", new String[]{"id","name"}, "id=? and name=?", new String[]{userInputID,userInputName}, null, null, null);

/* 插入记录操作*/

ContentValues val = new ContentValues();

val.put("id", userInputID);

val.put("name", userInputName);

db.insert("user", null, val);

/*更新记录操作*/

ContentValues val = new ContentValues();

val.put("id", userInputName);

db.update("user", val, "id=?", new String[]{userInputID });

/*删除记录操作*/

db.delete("user", "id=? and name=?", new String[]{userInputID , userInputName });

11.1.2、正确地使用SQLiteDatabase对象的rawQuery()方法（仅以查询为例）：

DatabaseHelper dbhelper = new DatabaseHelper(SqliteActivity.this,"sqliteDB");

SQLiteDatabase db = dbhelper.getReadableDatabase();

/* userInputID和userInputName是用户可控制的输入数据*/

String[] selectionArgs = new String[]{userInputID , userInputName };

String sql = "select * from user where id=? and name=?";//正确！此处绑定变量

Cursor curALL = db.rawQuery(sql, selectionArgs);

11.1.3、以下为错误案例！仅供参考：

DatabaseHelper dbhelper = new DatabaseHelper(SqliteActivity.this,"sqliteDB");

SQLiteDatabase db = dbhelper.getReadableDatabase();

/*案例1：错误地使用rawQuery()，未绑定参数*/

String sql = "select * from user where id=‘" + userInputID +"‘";//错误！动态拼接，未绑定变量

Cursor curALL = db.rawQuery(sql, null);

/*案例2：使用execSQL()方法*/

String sql = "INSERT INTO user values(‘"+userInputID +"‘,‘"+userInputName +"‘)";//错误同上

db.execSQL(sql);

4、使用signature级别的permission:

在应用的AndroidManifest.xml定义如下：

<!- 声明权限 ->

<permission

android:protectionLevel="signature"

android:name="com.hik.helloworld.activity"/>

<activity

android:name="com.hik.helloworld.TestActivity"

android:label="@string/app_name"

android:exported="false"

<!- 为对应组件使用权限 ->

android:permission="com.hik.helloworld.activity">

</activity>

则只有相同数字签名的应用申请该权限后才可以访问该组件。

5、contentProvider的独立读写权限设置

/* 只允许外部程序对特定Uri进行读操作时的样例设置 */

<provider android:name=". MyContentProvider "

android:authorities=" com.hik.contentprovider.MyContentProvider"

android:exported="true"
android:multiprocess="true"
android:readPermission="

com.hik.contentprovider.MyContentProvider .permission.read">
<path-permission android:pathPattern="/queryData/.*"
android:permission="

com.hik.contentprovider.MyContentProvider .permission.read "/>
</provider>

/* 只允许外部程序对特定Uri进行写操作时的样例设置 */

<provider android:name=". MyContentProvider "

android:authorities=" com.hik.contentprovider.MyContentProvider"

android:exported="true"
android:multiprocess="true"
android:writePermission="

com.hik.contentprovider.MyContentProvider .permission.write">
<path-permission android:pathPattern="/updateData/.*"
android:permission="

com.hik.contentprovider.MyContentProvider .permission.write "/>
</provider>