阿里Android开发规范：安全与其他

最新推荐文章于 2025-05-25 16:34:37 发布

「已注销」

最新推荐文章于 2025-05-25 16:34:37 发布

阅读量2.4k

点赞数 1

CC 4.0 BY-SA版权

分类专栏：阿里Android开发规范文章标签：阿里Android开发规范

本文链接：https://blog.youkuaiyun.com/leeyhCoding/article/details/79455376

本文详细介绍了阿里巴巴Android开发的安全规范，包括禁止使用空Intent的PendingIntent、避免使用常量初始化向量参数、设置android:allowbackup为false、实现安全的HostnameVerifier和X509TrustManager、保护META-INF目录、限制Receiver/Provider的导出、数据加密存储、防止WebView安全漏洞、避免广播敏感信息、禁止打印敏感日志等方面，旨在提升应用的安全性和稳定性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

以下内容摘自阿里巴巴Android开发手册

我们的目标是：

防患未然，提升质量意识，降低故障率和维护成本；
标准统一，提升协作效率；
追求卓越的工匠精神，打磨精品代码。
【强制】必须遵守，违反本约定或将会引起严重的后果；
【推荐】尽量遵守，长期遵守有助于系统稳定性和合作效率的提升；
【参考】充分理解，技术意识的引导，是个人学习、团队沟通、项目合作的方向。

阿里Android开发规范：资源文件命名与使用规范
 阿里Android开发规范：四大基本组件
 阿里Android开发规范：UI 与布局
 阿里Android开发规范：进程、线程与消息通信
 阿里Android开发规范：文件与数据库
 阿里Android开发规范：Bitmap、Drawable 与动画
 阿里Android开发规范：安全与其他

1、【强制】使用 PendingIntent 时，禁止使用空 intent，同时禁止使用隐式 Intent
说明：

使用 PendingIntent 时，使用了空 Intent,会导致恶意用户劫持修改 Intent 的内容。禁止使用一个空 Intent 去构造 PendingIntent，构造 PendingIntent 的 Intent一定要设置 ComponentName 或者 action。
PendingIntent 可以让其他 APP 中的代码像是运行自己 APP 中。PendingIntent的intent接收方在使用该intent时与发送方有相同的权限。在使用PendingIntent时，PendingIntent 中包装的 intent 如果是隐式的 Intent，容易遭到劫持，导致信息泄露。

正例：

Intent intent = new Intent(this, SomeActivity.class);
PendingIntent pendingIntent = PendingIntent.getActivity(this, 1, intent, PendingIntent.FLAG_UPDATE_CURRENT);
try {
    pendingIntent.send();
} catch (PendingIntent.CanceledException e) {
    e.printStackTrace();
}

反例 1：

Bundle addAccountOptions = new Bundle();
mPendingIntent = PendingTntent.getBroadcast(this, 0, new Intent, 0);
addAccountOptions.putParcelable(KEY_CALLER_IDENTITY, mPendingIntent);
addAccountOptions.putBoolean(EXTRA_HAS_MULTIPLE_USERS,
Utils.hasMultipleUsers(this));
AccountManager.get(this).addAccount(accountType,
    null,
    null,
    addAccountOptions,
    null,
    mCallback,
    null);

反例 2：
mPendingIntent 是通过 new Intent()构造原始 Intent 的，所以为“双无”Intent，这个PendingIntent最终被通过AccountManager.addAccount 方法传递给了恶意APP接口。

Intent intent = new Intent("com.test.test.pushservice.action.METHOD");
intent.addFlags(32);
intent.putExtra("app",msg);
PendingIntent.getBroadcast(this, 0, intent, 0));