26、数据泄露检测：日志泄露、剪贴板泄露、截屏防护

数据泄露，说白了就是你的App在不知不觉中把用户隐私给“卖”了。我做了这么多年安全测试，见过太多App因为日志没关好、剪贴板没清理、截屏没防护，结果被第三方应用轻松窃取数据。嗯，今天我们就来聊聊这三个最容易被忽视的泄露点。

26.1 日志泄露：你打印出来的“罪证”

日志泄露是我在项目中遇到最多的问题。很多开发同学为了方便调试，把敏感信息直接打印到Logcat里，上线前又忘了关掉。你想想看，任何有READ_LOGS权限的应用，都能轻松读到这些日志。

我曾经在一个金融类App里，发现开发同学把用户完整的交易流水打印到了日志里。嗯，这要是被恶意应用抓取到，后果不堪设想。

检测方法

手动检测其实很简单。用adb命令实时抓取日志，然后过滤敏感关键词：

# 实时抓取日志并过滤敏感信息
adb logcat | grep -E "(password|token|secret|card|ssn|key)"

我个人习惯用grep配合正则表达式，这样能覆盖更多模式。比如：

# 更全面的正则匹配
adb logcat | grep -E "(password|pwd|token|session|secret|key|card|ssn|credit|pin|auth)"

#!/bin/bash
# 日志泄露扫描脚本
PACKAGE_NAME="com.example.app"
adb logcat -c
adb logcat | grep -E "(password|token|secret)" | while read line; do
    echo "[!] 发现敏感日志: $line"
done

修复建议

• 上线前移除所有调试日志：使用ProGuard或R8自动移除Log.d()和Log.v()调用
• 使用日志框架控制级别：比如Timber，可以按BuildConfig.DEBUG控制输出
• 敏感数据脱敏：即使要打印，也要把中间部分用星号替换

// 使用Timber控制日志输出
if (BuildConfig.DEBUG) {
    Timber.plant(new Timber.DebugTree());
}

// 敏感数据脱敏示例
String maskedCard = cardNumber.replaceAll("(?<=\\d{4})\\d{10}(?=\\d{4})", "**********");
Log.d("TAG", "用户卡号: " + maskedCard);

26.2 剪贴板泄露：你复制的内容，别人也能看到

剪贴板泄露是个老生常谈的问题，但直到今天依然有很多App在犯。Android的剪贴板是全局共享的，任何应用都可以读取。你想想看，如果你在支付App里复制了密码，然后切换到另一个App，那个App就能读到你的密码。

我记得有一次测试一个社交App，用户在输入验证码时，App直接把验证码复制到了剪贴板。嗯，这等于把验证码拱手送给了其他应用。

检测方法

手动检测可以用一个简单的测试App，或者直接用adb命令模拟读取剪贴板：

# 读取当前剪贴板内容（需要root或调试权限）
adb shell am broadcast -a android.intent.action.CLIPBOARD_CHANGED
adb shell content read --uri content://com.android.systemui.clipboardex/ClipboardTable

更直接的方法，是写一个简单的测试应用，注册OnPrimaryClipChangedListener监听器：

// 测试应用：监听剪贴板变化
ClipboardManager clipboard = (ClipboardManager) getSystemService(Context.CLIPBOARD_SERVICE);
clipboard.addPrimaryClipChangedListener(new ClipboardManager.OnPrimaryClipChangedListener() {
    @Override
    public void onPrimaryClipChanged() {
        ClipData clip = clipboard.getPrimaryClip();
        if (clip != null && clip.getItemCount() > 0) {
            CharSequence text = clip.getItemAt(0).getText();
            Log.d("CLIPBOARD_MONITOR", "捕获到剪贴板内容: " + text);
        }
    }
});

修复建议

• 不要复制敏感信息到剪贴板：密码、验证码、卡号等绝对不要复制
• 限制剪贴板访问：Android 10+ 已经限制后台应用读取剪贴板，但前台应用依然可以
• 使用安全输入组件：比如自定义键盘，避免系统剪贴板介入

// 安全复制：只允许本应用读取
ClipData clip = ClipData.newPlainText("label", "敏感内容");
ClipboardManager clipboard = (ClipboardManager) getSystemService(Context.CLIPBOARD_SERVICE);
clipboard.setPrimaryClip(clip);

// 注意：Android 10+ 无法限制其他应用读取剪贴板
// 最佳实践：不要复制敏感信息

26.3 截屏防护：你的屏幕，别人也能“看”到

截屏防护是金融类App的标配。你想想看，如果用户在转账时被恶意应用截屏，那账户信息、余额、甚至密码都可能被泄露。Android提供了FLAG_SECURE标志，可以禁止截屏和录屏。

我曾经测试过一个银行App，它在登录页面设置了截屏防护，但进入交易记录页面后却忘了设置。嗯，这等于只锁了前门，后门却敞开着。

检测方法

手动检测很简单：尝试截屏，看是否被阻止。自动化检测可以用以下方法：

# 使用adb截屏测试
adb shell screencap /sdcard/screenshot.png
# 如果返回黑屏或空白，说明有FLAG_SECURE防护

更专业的做法，是使用UI自动化框架检测：

// 使用Espresso检测FLAG_SECURE
@Test
public void testScreenshotProtection() {
    Activity activity = getActivity();
    int flags = activity.getWindow().getAttributes().flags;
    boolean hasSecureFlag = (flags & WindowManager.LayoutParams.FLAG_SECURE) != 0;
    assertTrue("页面缺少截屏防护", hasSecureFlag);
}

修复建议

在Activity或Fragment的onCreate或onResume中设置：

// 在Activity中设置截屏防护
@Override
protected void onCreate(Bundle savedInstanceState) {
    super.onCreate(savedInstanceState);
    getWindow().setFlags(WindowManager.LayoutParams.FLAG_SECURE,
                         WindowManager.LayoutParams.FLAG_SECURE);
    setContentView(R.layout.activity_main);
}

// 在Fragment中设置
@Override
public void onResume() {
    super.onResume();
    getActivity().getWindow().setFlags(WindowManager.LayoutParams.FLAG_SECURE,
                                       WindowManager.LayoutParams.FLAG_SECURE);
}

// 注意：离开页面时要清除FLAG_SECURE，否则会影响其他页面
@Override
public void onPause() {
    super.onPause();
    getActivity().getWindow().clearFlags(WindowManager.LayoutParams.FLAG_SECURE);
}

// WebView截屏防护
webView.setLayerType(View.LAYER_TYPE_HARDWARE, null);
// 或者使用自定义WebViewClient拦截截屏事件

26.4 知识体系总览

下面这张图，是我个人总结的数据泄露检测知识体系。你可以把它当作一个检查清单，每次做安全测试时对照着来：

26.5 综合检测清单

最后，我整理了一个检测清单，你可以直接拿去用：