安卓安全 : Google Play warning: Your app contains a SQL Injection issue

Question

作为我们应用程序的一部分，我们使用了两个 contentProvider，但它们都受到 android:exported="false"的保护。

但我们仍然收到一封来自 Google Play 的邮件警告:您的应用包含 SQL 注入(inject)问题

他们提到解决方案是在已经存在的 AndroidManifest 文件中为内容提供者添加 android:exported="false"。

有人可以建议解决这个问题吗？

仅供引用:我们还使用带有 SQL 语句的 native 应用程序的 CONTENT_URI 来获取数据，但我们使用的是 ContentResolver.Query 而不会暴露任何列或私有(private)数据

Answer 1

自从我被声明为带有 android:exported="true" 标签的内容提供者以来，我也遇到了这个问题。正如 Google Play 建议的那样，您应该将 android:exported="false" 标记与内容提供者一起使用以消除此漏洞。

请注意，如果您不是从主线程访问数据库，您将获得访问被拒绝的 SQlite 异常。

因此，如果您使用任何类型的工作线程来执行一些异步任务并从工作线程退出时调用的回调访问数据库，则您应该使用主线程进行数据库操作。

仅供引用:当我从 BLE Gatt 写入回调向 DB 插入一些数据时，我遇到了访问被拒绝的异常