MobSF扫描警告：androidx.profileinstaller.ProfileInstallReceiver未在清单定义且可被访问

问题背景 #

这个接收器是通过第三方依赖间接引入的，你并未在自身AndroidManifest.xml中定义，但它默认处于导出状态，MobSF检测到它可被设备上其他应用访问，且关联权限未在你的应用中定义，触发警告：

"A Broadcast Receiver is found to be shared with other apps on the device therefore leaving it accessible to any other application on the device. It is protected by a permission which is not defined in the analyzed application..."

可行解决方法 #

1. 直接移除该依赖（推荐）

androidx.profileinstaller的作用是安装基线配置文件优化App启动速度，若你不需要该优化功能，直接排除依赖可彻底解决问题。在App模块的build.gradle中添加排除规则：

// 全局排除所有依赖中的profileinstaller
configurations.all {
    exclude group: 'androidx.profileinstaller', module: 'profileinstaller'
}

// 或针对特定依赖（如appcompat）单独排除
dependencies {
    implementation('androidx.appcompat:appcompat:你的版本号') {
        exclude group: 'androidx.profileinstaller', module: 'profileinstaller'
    }
}

2. 覆写接收器配置消除安全隐患

若不想移除依赖，可在自身AndroidManifest.xml中显式声明该接收器，强制设置android:exported="false"，覆盖依赖库的默认配置：

<receiver
    android:name="androidx.profileinstaller.ProfileInstallReceiver"
    android:exported="false"
    tools:node="merge">
    <intent-filter>
        <action android:name="androidx.profileinstaller.action.INSTALL_PROFILE" />
    </intent-filter>
    <!-- 可选：添加自定义签名权限进一步限制访问 -->
    <!-- <permission android:name="com.yourpackage.permission.ACCESS_PROFILE_INSTALL" android:protectionLevel="signature" /> -->
    <!-- <uses-permission android:name="com.yourpackage.permission.ACCESS_PROFILE_INSTALL" /> -->
</receiver>

tools:node="merge"确保你的配置与依赖库配置合并，强制将导出状态设为false，从根源消除安全风险。

3. 仅在MobSF中忽略警告（不推荐）

若仅想隐藏MobSF警告而非解决实际风险，可修改MobSF扫描规则：

• 找到MobSF安装目录下的StaticAnalyzer/rules/android/manifest_rules.json
• 添加规则忽略androidx.profileinstaller.ProfileInstallReceiver的导出警告
  注意：此方法仅隐藏警告，未解决安全隐患，仅适用于你确认该接收器无风险的场景。

内容的提问来源于stack exchange，提问作者Priya Kushwah