Android中ComponentActivity的android:exported设为true的安全问题及修改方案

环境信息 #

• Android Studio Build: 2022.3.1 Patch 1
• Kotlin version: 1.7.20

配置异常情况 #

在项目的build/intermediates/merged_manifest/debug/AndroidManifest.xml中，发现一条疑似Gradle插件自动添加的配置：

<activity
    android:name="androidx.activity.ComponentActivity"
    android:exported="true"    />

该配置被SonarQube标记为安全风险，提示内容为：为该导出组件实现权限控制。

已尝试的修改方案 #

• 方案1：在app\src\main\AndroidManifest.xml中直接声明该Activity并设置exported="false"：

<activity
    android:name="androidx.activity.ComponentActivity"
    android:exported="false" />    

但执行APK构建时出现错误。

• 方案2：直接修改build/intermediates/merged_manifest/debug/AndroidManifest.xml中的exported属性为false，但重建项目后配置会自动恢复为true。

待咨询问题 #

1. 该配置是否会带来实际安全风险？
2. 如何正确将其exported属性修改为false？

补充说明 #

项目中存在自定义的LoginActivity，继承自ComponentActivity：

import androidx.activity.ComponentActivity
class LoginActivity : ComponentActivity() {
    // 自定义业务代码
}

1. 该配置的安全风险 #

确实存在安全风险。android:exported="true"表示这个Activity允许被其他应用启动，而ComponentActivity是AndroidX提供的基础Activity类，本身没有任何权限校验或安全防护逻辑。如果被恶意应用触发，可能会引发未知行为，甚至被利用来绕过权限限制、获取应用敏感数据，SonarQube的风险提示是合理的。

2. 正确修改exported属性的方法 #

直接在主Manifest中声明ComponentActivity会报错，是因为Gradle插件已经自动生成了该组件的配置，直接声明会导致合并冲突。正确做法是利用Manifest的合并规则覆盖自动生成的属性：

在app/src/main/AndroidManifest.xml中添加如下配置，使用tools:replace指定要覆盖的属性：

<activity
    android:name="androidx.activity.ComponentActivity"
    android:exported="false"
    tools:replace="android:exported" />

注意需要在Manifest的根标签中添加tools命名空间，示例如下：

<manifest xmlns:android="http://schemas.android.com/apk/res/android"
    xmlns:tools="http://schemas.android.com/tools"
    package="你的应用包名">

这样配置后，Manifest合并阶段会自动将Gradle生成的exported="true"替换为false，既不会出现构建错误，重建项目后配置也不会恢复。

另外需确认自定义的LoginActivity在Manifest中已正确声明，并根据其启动需求设置exported值（比如如果有外部启动的Intent Filter，需设为true，否则设为false），它的配置不会影响ComponentActivity的基础配置。

内容的提问来源于stack exchange，提问作者陳宇凱