安全编码规范：四大组件安全编码 Checklist

说实话，做 Android 安全这几年，我见过太多漏洞了。有些是架构设计的问题，但更多的——嗯，其实是编码阶段埋下的雷。你想想看，一个 exported="true" 随手一写，可能就把整个应用的数据暴露了。

今天我就把自己多年积累的「四大组件安全编码 Checklist」分享出来。这不是什么官方文档，是我踩坑踩出来的实战经验。每个点我都吃过亏，你照着做，至少能防住 90% 的常见攻击。

一、Activity 安全编码 Checklist

Activity 是最容易被攻击的组件。为什么？因为它直接跟用户交互，攻击者只要构造一个恶意 Intent 就能启动你的页面。我在项目中遇到过好几次，第三方 SDK 的 Activity 被恶意调起，直接弹出了钓鱼界面。

二、Service 安全编码 Checklist

Service 的问题往往更隐蔽。它不像 Activity 那样有 UI，攻击者启动了你的 Service，你甚至都不知道。我记得有一次，某个后台下载 Service 被恶意调用了上千次，直接把用户流量耗光了。

三、BroadcastReceiver 安全编码 Checklist

BroadcastReceiver 是四大组件里最容易被忽视的。攻击者可以发送恶意广播来触发你的 Receiver，甚至通过有序广播拦截数据。说白了，它就是 Android 组件里的「软肋」。

四、ContentProvider 安全编码 Checklist

ContentProvider 是数据泄露的重灾区。我见过太多应用直接把数据库暴露出去，连个权限都不加。攻击者只要知道 URI，就能把用户数据拖个精光。

五、通用安全编码规范

除了组件特有的检查项，还有一些通用规范。这些是我在代码审查时必查的点，你最好也记下来。

// 通用安全编码示例
public class SecurityUtils {
    
    // 1. Intent 数据校验
    public static String safeGetStringExtra(Intent intent, String key) {
        if (intent == null || !intent.hasExtra(key)) {
            return "";
        }
        String value = intent.getStringExtra(key);
        return value != null ? value : "";
    }
    
    // 2. 路径遍历防护
    public static boolean isValidPath(String basePath, String targetPath) {
        File base = new File(basePath);
        File target = new File(base, targetPath);
        try {
            String canonicalBase = base.getCanonicalPath();
            String canonicalTarget = target.getCanonicalPath();
            return canonicalTarget.startsWith(canonicalBase);
        } catch (IOException e) {
            return false;
        }
    }
    
    // 3. 权限校验
    public static boolean checkCallingPermission(Context context, String permission) {
        int result = context.checkCallingPermission(permission);
        return result == PackageManager.PERMISSION_GRANTED;
    }
}

六、Checklist 使用建议

光有 Checklist 还不够，你得把它用起来。我个人的做法是：

1. 编码前：把 Checklist 贴在工位旁边，写代码时对照着看
2. 代码审查：每次 MR 必须过一遍 Checklist，逐项确认
3. 自动化检测：用 lint 或自定义规则，把部分检查项自动化
4. 定期复盘：每季度回顾一次安全漏洞，更新 Checklist

说实话，安全编码不是什么高深的技术。它更像是一种习惯，一种肌肉记忆。你坚持做三个月，后面就变成条件反射了。

公众号:蓝海资料掘金营，微信deep3321