Android 嵌套 Intent

Android 嵌套 Intent 详解及安全问题解决方案

在 Android 开发中，嵌套 Intent 指的是一个 Intent 接受了另一个 Intent 作为它的 Extra 参数，并将其作为参数通过 startActivity() 进行调用。这种机制在某些场景下可以实现复杂的交互流程，但同时也带来了潜在的安全风险。

嵌套 Intent 通常用于实现跨应用的回调机制。例如，Client 应用希望触发某个操作后，由 Provider 应用处理该操作，并在完成后回调 Client 应用中的某个 Activity。这时，Client 应用可以创建一个 Intent 指向其回调 Activity，并将其作为 Extra 添加到启动 Provider 应用 Service 的 Intent 中。Provider 应用在处理完请求后，使用 Client 应用提供的 Intent 启动回调 Activity。

1. Activity 导出风险：

   由于 ClientCallbackActivity 是被 Provider 应用从外部启动的，因此在清单文件中必须将其标识为 exported。这不仅允许 Provider 应用启动 ClientCallbackActivity，还允许设备上任何其他的应用启动它，从而暴露了 Client 应用的内部组件。

2. 内部 Activity 启动风险：

   传递给 ApiService 的嵌套 Intent 可以被用来启动 Provider 应用内的任意 Activity，包括私有的、可能包含敏感信息的或者非导出的 Activity。这可能导致 Provider 应用的内部逻辑被恶意利用。

假设攻击者（Attacker 应用）能够构造一个特殊的 Intent，该 Intent 指向 Provider 应用中的私有 Activity（如 ApiSensitiveActivity），即使该 Activity 未被标记为 exported。由于 Provider 应用直接使用 Intent 调用 startActivity() 方法，系统无法阻止此次调用，从而导致 ApiSensitiveActivity 被启动，并可能泄露敏感信息。

为了解决嵌套 Intent 带来的安全问题，可以使用 PendingIntent 替代普通的 Intent。PendingIntent 和 Intent 之间的主要区别在于，PendingIntent 只有在其被创建的 context 中才能被处理。

1. Provider 应用接受 PendingIntent：

   Provider 应用不再接受普通的 Intent 参数，而是接受 PendingIntent 参数。这样，即使攻击者构造了特殊的 Intent，由于它无法创建指向 Provider 应用内部私有 Activity 的 PendingIntent（因为 PendingIntent 是在其被创建的 context 中处理的），因此无法启动这些 Activity。

2. 提高安全性：

   由于回调是以 PendingIntent 的方式提供的，当 Provider 应用对其调用 send() 方法时，startActivity() 方法的调用会被当作是从 Attacker 应用发起的。由于 Attacker 应用并没有启动 ApiSensitiveActivity 的权限，系统会阻止此次调用，从而防止 ApiSensitiveActivity 被启动。

3. Client 应用设置私有 Activity：

   由于提供的是 PendingIntent，Client 应用现在可以将 ClientCallbackActivity 设置为私有的、非导出的 Activity 组件。这样的变化使得 Client 和 Provider 应用都拥有了更好的安全性。

使用 Intent 作为实现对 Activity 回调的机制，无论对 Provider 还是 Client 应用，都会带来安全风险。这是因为 Intent 总是在其被调用的应用内的 Context 中被处理的。相反，PendingIntents 是在其被创建的 Context 中被处理，这不仅可以让 Provider 应用自由地使用它们，而不用暴露出任何非导出 Activity，还可以让 Client 应用指定任意的 Activity（包括非导出的）来接受回调。因此，在需要实现跨应用回调时，应优先考虑使用 PendingIntent 来提高安全性。