Android中其他开发者App能否读取CookieManager.setCookie设置的Cookie及合规性

一、其他应用能不能读取这个Cookie？ #

• 正常情况下，完全读不到。Android里每个应用的WebView都有自己独立的Cookie存储，存在应用的私有数据目录里，其他应用没有权限访问这个目录，自然拿不到Cookie。
• 只有两种极端特殊情况才有可能：
  • 你在设置Cookie时，把存储路径改成了全局可读写的共享目录（比如SD卡根目录），而且其他应用刚好知道这个路径，才能去读。但这么做本身就是非常不安全的操作，正规应用不会这么干。
  • 某些定制ROM可能修改了WebView的沙箱机制，允许跨应用共享Cookie，但原生Android系统默认绝对不支持这种操作。
• 另外，如果设置Cookie时加上了HttpOnly标记，那别说其他应用，连你自己应用里的JavaScript都读不到这个Cookie，安全性更高。

二、这种跨应用共享数据的行为违反Android政策吗？ #

• 要是你靠非常规手段（比如改文件权限、用共享目录存Cookie）让其他应用读到了，那肯定违规：
  • 违反Android的应用沙箱隔离原则——Android设计的核心就是每个应用的私有数据只属于自己，未经允许跨应用拿数据本身就破坏了系统的安全机制。
  • 要是你的应用要上架Google Play，这种行为会直接违反《Google Play开发者政策》里的用户隐私条款，大概率会被下架。
• 当然，要是你通过合法途径共享数据，比如用Content Provider并提前获得用户的明确授权，或者用Intent传递数据时让用户确认过，而且共享的Cookie数据是用户同意对外提供的，这种情况是合规的，但这已经不是直接读取WebView的Cookie存储了，是正规的跨应用数据交互。

内容的提问来源于stack exchange，提问作者Shih-Wen Su