android:exported

OWASP 類別：MASVS-PLATFORM：平台互動

總覽

android:exported 屬性可設定活動、服務、廣播接收器等元件能否由其他應用程式的元件啟動：

  • 如果設為 true，任何應用程式皆可存取活動，並以確切的類別名稱啟動活動。
  • 如果設為 false，則只有同一個應用程式的元件、具有相同使用者 ID 的應用程式，或具備特殊權限的系統元件，才能啟動活動。

這個屬性預設值背後的邏輯經過了演變，會因元件類型和 Android 版本而異。舉例來說，在 API 級別 16 (Android 4.1.1) 以下版本中，<provider> 元素會預設為 true。如未明確設定這個屬性，可能會導致某些裝置採用不同的預設值。

影響

如果預設值不同，可能會不小心公開應用程式內部元件。以下列舉幾個可能的後果：

發生阻斷服務攻擊。其他應用程式不當存取內部元件，修改應用程式內部功能。機密資料外洩。在有安全漏洞的應用程式中執行程式碼。

因應措施

請一律明確設定 android:exported 屬性。這樣一來，就不會留下任何解釋空間，且能針對元件的瀏覽權限明確指出您的意圖。