审计 Android 组件与 Intent 处理时防止…

在审计 AndroidManifest.xml 组件配置或处理外部传入 Intent 的源码时，按清单加固组件导出、PendingIntent、ContentProvider 与服务调用方校验。

适用场景

解决思路

1. 评估 Intent 投递方式：内部私有组件用显式 Intent；系统级功能（相机、拨号、分享）用隐式 Intent；内部异步事件改用 Kotlin Flows/SharedFlow、LiveData 等应用内观察者（LocalBroadcastManager 已废弃）；系统事件用系统广播。
2. 选择 PendingIntent 可变性标志：默认使用 PendingIntent.FLAG_IMMUTABLE（闹钟、通知等）；仅在必须可变时（内联通知回复、slice 操作）使用 PendingIntent.FLAG_MUTABLE，且必须设置显式目标组件。
3. 处理嵌套 Intent 时：若可用 AndroidX Core 1.9.0+，必须构造 IntentSanitizer 显式白名单化组件、action、data 与 extras，并在启动前调用 sanitizeByThrowing() 或 sanitizeByFiltering()；否则必须校验嵌套 Intent 的目标包名等于当前应用包名，且目标组件是公开导出的；绝不直接启动未校验的嵌套 Intent。
4. 处理广播时：系统事件依赖系统 Protected Broadcast 机制（保证发送方为系统框架）；自定义接收器用签名级权限保护，动态接收器使用 RECEIVER_NOT_EXPORTED 限制发送方。
5. 创建 PendingIntent 时：默认使用 FLAG_IMMUTABLE；若必须可变，必须在基础 Intent 上设置显式目标组件或包名；绝不创建隐式可变 PendingIntent。
6. 配置 ContentProvider 时：仅内部使用必须设 android:exported="false"；对外暴露必须用 android:readPermission 与 android:writePermission 保护，且除非确需临时 URL 访问，否则设 android:grantUriPermissions="false"。
7. 校验服务调用方时：用 Binder.getCallingUid() 获取调用方 UID，用 PackageManager.getPackagesForUid() 解析包名，并校验调用包签名指纹与可信证书哈希一致。
8. 手动安全重定向嵌套 Intent：用 IntentCompat.getParcelableExtra 取出嵌套 Intent；检查是否含 FLAG_GRANT_READ_URI_PERMISSION、FLAG_GRANT_WRITE_URI_PERMISSION、FLAG_GRANT_PERSISTABLE_URI_PERMISSION、FLAG_GRANT_PREFIX_URI_PERMISSION 等 URI 权限授予标志，有则抛 SecurityException；用 resolveActivity 解析目标，校验目标包名等于当前包名；用 getActivityInfo 校验目标 activity 已导出；显式设置 nestedIntent.component 防止 Intent 拦截后再 startActivity。
9. 用 IntentSanitizer 安全重定向：用 Builder 的 allowComponent、allowAction、allowDataWithAuthority、allowType、allowExtra 显式白名单化目标组件、action、URI authority、MIME 类型与类型安全的 extras；用 sanitizeByThrowing() 在违规时抛 SecurityException，或用 sanitizeByFiltering() 静默过滤后启动。
10. 用自定义签名级权限保护家族应用通信：在 manifest 中声明 <permission android:protectionLevel="signature">，并在导出的 activity 上通过 android:permission 引用该权限。
11. 在 onNewIntent 中做热启动校验：调用 super.onNewIntent(newIntent)，设置 intent = newIntent，对 newIntent 执行与 onCreate 相同的安全校验（如 validateIntent），通过后才处理 payload，否则记录安全告警日志。
12. 安全创建 PendingIntent：不可变场景用 PendingIntent.getActivity 配合 FLAG_IMMUTABLE or FLAG_UPDATE_CURRENT；可变场景（如通知直接回复）用 PendingIntent.getBroadcast 配合 FLAG_MUTABLE or FLAG_UPDATE_CURRENT，并在 Intent 上设置显式 component。
13. 安全配置与查询 ContentProvider：manifest 中设置 authorities、exported、readPermission、writePermission、grantUriPermissions；query 中用 SQLiteQueryBuilder 设置 tables 与 projectionMap 限制可查询列，启用 setStrict(true)、setStrictColumns(true)、setStrictGrammar(true)，并始终用 selectionArgs 参数化 selection，绝不拼接字符串。
14. 校验服务调用方签名：onBind 中只返回 Binder，不在 onBind 做签名校验（binder 连接会被 Android 缓存从而绕过后续校验）；在每个事务方法中调用 enforceTrustedCaller()，允许同应用 UID，否则用 getPackagesForUid 取包名并用 pm.hasSigningCertificate(packageName, trustedSha256Raw, PackageManager.CERT_INPUT_SHA256) 校验签名。
15. 安全处理错误：捕获 SecurityException 时记录安全违规日志（含调用包名）但绝不向用户暴露异常细节，只给通用反馈；捕获 IllegalArgumentException 记录完整性告警；ContentProvider 客户端查询捕获 SQLiteException 并防止原始查询语法泄露到 UI。
16. 生成结构化报告：按「最佳实践与安全对齐更新」模板输出，包含安全对齐领域、影响与优先级、变更范围（修改的类、XML、依赖）、实现摘要与统一 diff，并写入会话产物目录或最终响应。
17. 测试与验证：按步骤运行组件单元测试验证行为正确，并执行回归安全验证。
18. 避免反模式：绝不未校验就启动不可信嵌套 Intent；绝不用 sticky broadcast；绝不因组件在后台线程或做内部检查就认为导出组件安全；绝不无签名级权限就暴露 SSO/支付等敏感功能；绝不在 onNewIntent 中跳过 onCreate 同等安全控制；绝不创建无显式目标组件的可变 PendingIntent；绝不在 ContentProvider 查询中动态拼接 selection；绝不在 BroadcastReceiver.onReceive 中用 Binder.getCallingUid 识别广播发送方（它返回接收方自身 UID）。
19. 遵循最佳实践：所有不需外部通信的组件显式设 android:exported="false"；家族应用间通信用 android:protectionLevel="signature" 的自定义权限保护导出组件；校验所有传入 extras 并优雅处理缺失参数；系统事件依赖 Protected Broadcast；自定义广播用签名级权限或 RECEIVER_NOT_EXPORTED；在 onNewIntent 中先 setIntent(newIntent) 再处理 payload；默认用 FLAG_IMMUTABLE；导出 ContentProvider 用 readPermission/writePermission 保护；query/update 强制参数化 selection；导出服务运行时校验绑定应用包签名指纹；若项目引入 AndroidX Core 1.9.0+，重定向前用 IntentSanitizer 清洗传入动态 Intent。

适用边界 · 注意事项

• 不覆盖网络安全、Web 集成或主机到服务器安全。
• 仅聚焦 Android 平台本地组件间与应用间通信安全。
• 需要 Android SDK 最低 API 23，IntentSanitizer 需 AndroidX Core 1.9.0+。