android - 具有不同签名的两个应用程序之间的自定义权限

Question

我有两个使用不同证书/ key 签名的应用程序。

我想从应用程序 A 到应用程序 B 进行经过身份验证的调用(对服务)(因此没有第 3 方可以进行此类调用)。

Android 中此类问题的常见解决方案是具有签名保护级别的自定义权限。但是，它在我的情况下不起作用，因为两个应用程序使用不同的证书(由不同公司开发)签名

所以，问题来了。如果我只想允许应用程序 A(或该公司开发的任何应用程序)调用/绑定(bind)应用程序 B 中的服务，这种情况下的最佳做法是什么？

Answer 1

真的没有，恕我直言。

如果权限不是基于签名，用户可以将其授予任何请求它的应用，因此权限对您没有帮助。

如果您使用绑定(bind)模式的服务，您的 Binder 有 getCallingUid()，您可以使用它来查找调用应用程序的 UID。通过一些工作，您可以从 PackageManager 中找到该 UID 的包名称。如何验证包名称由您决定(内置白名单，尝试从 PackageManager 中理解包的签名，等等)。不过，这并不能阻止有人弄乱您的 APK 并破解您的验证例程。