android - 验证 ContentProvider 的签名

Question

我有一个经典案例，我的一个应用程序向我的另一个应用程序提供内容。我知道可以使用具有签名保护级别的权限来保护内容提供者。但我担心另一个方向。如果包含内容提供者的应用程序未安装并且恶意应用程序包含具有相同权限的提供者怎么办(我知道权限不应该意外冲突，但我正在考虑恶意应用程序)。如果我的应用程序是在具有相同签名的应用程序中定义的，我如何确保我的应用程序只查询提供程序？

我能想到的最接近的事情是通过包管理器找到我的其他应用程序并验证签名是否匹配。并且由于我的其他应用程序具有内容提供者，因此无法在同一设备上安装具有相同权限的另一个内容提供者。但是有了这个，我在包名和权限之间建立了联系。我希望有更简洁的方法。

Answer 1

在 PackageManager 上调用 resolveContentProvider()，传入权限字符串。这将为您提供有关该字符串的 ContentProvider 的详细信息。从那里检查该提供商的包的签名，看它是否与您的相匹配。