关于应用数据传递LocalBroadcast（局部广播）

2019年5月8日 154次阅读 来源: ThinkinLiu

有一段时间没有专门去做Android开发了，但是这几天针对app进行漏洞扫描，出了一份扫描报告，有145个漏洞需要去解决，于是又开启了Android填坑…

这些漏洞，涉及了很多模块，网络通信（https，中间人劫持，弱证书校验）webview（绕过证书校验，File域同源策略绕过，AddJavaScriptInterface任意命令执行，隐藏js接口）加密（弱加密，SecureRadnom随机数漏洞）存储（zip解压目录遍历，sp存储，Internal Storage存储）组件（ContentProvider Activity等组件导出暴露，广播信息泄露，allowBackUp文件备份，Intent Scheme URL攻击漏洞）……于是开始逐一解决

《关于应用数据传递LocalBroadcast（局部广播）》 Android广播

现在记录下广播信息泄露及其解决方案：

漏洞

在使用sendBroadcast发送广播，intent传递应用参数时，未对接受广播的应用进行限制，导致任何应用均可获取发送的信息，从而造成信息泄漏。

解决方案

1、部分需要与外部进程交互的，进行权限控制，使用sendBroadcast(Intent, receiverPermission)替代sendBroadcast(Intent)，并修改广播接收端。
2、在进程内，使用LocalBroadcast替换Broadcast，事实上，我们app中有不少仅仅在应用内进行通信的Broadcast,这些基本上可以使用LocalBroadcast替换。

LocalBroadcast

使用LocalBroadcast的方法与Broadcast大同小异

1). 发送

与Broadcast一致，都是通过Broadcast方法，intent也一致

LocalBroadcastManager.getInstance(context).sendBroadcast(intent);
2). 接收

接收时，包含register与unRegister，registerReceiver的receiver和filter与Broadcast一致

LocalBroadcastManager localBroad = LocalBroadcastManager.getInstance(mContext);
localBroad .registerReceiver(receiver, filter); 

if(receiver != null) {
    LocalBroadcastManager localBroad = LocalBroadcastManager.getInstance(mContext);
    localBroad .unregisterReceiver(receiver);
}
3). 机制

与Broadcast的Bindler机制不同，LocalBroadcast其实是handler机制，这也就解释了为什么其仅能在进程内使用，也就是说，LocalBroadcast虽然命名像是Broadcast，但其并不是Broadcast。

原文：简书ThinkinLiu 博客: IT老五

写技术文章一直很担心犯错，从而影响到看我文章的朋友…
这里简单记录下漏洞解决方案，及LocalBroadcast的使用，如有不对之处，烦请提醒！

《关于应用数据传递LocalBroadcast（局部广播）》 IT老五（it-lao5）：关注公众号，一起源创，一起学习！

    原文作者：ThinkinLiu
    原文地址: https://www.jianshu.com/p/17f9d8f5b4a9
    本文转自网络文章，转载此文章仅为分享知识，如有侵权，请联系博主进行删除。
点赞