跨多开发者发布的Android应用复用同一Auth服务访问令牌的可行性探究

安全阿岳

2026-5-1

跨Android应用复用同一Auth服务的Access Token：可行方案详解

首先直接给答案：完全可以实现，但需要你的Auth服务做专门的跨应用token共享设计——因为Android默认的应用沙箱隔离机制，不同开发者的应用本来是无法直接共享数据的，所以得靠Auth服务端+客户端SDK的配合来打破这个隔离，同时保证安全性。

下面是经过验证的完整落地方案，结合你提到的Content Provider，再补充更稳妥的官方方案：

一、核心原理：打破应用沙箱的合法方式

Android的应用沙箱是为了安全，但系统提供了几种合法的跨应用数据共享机制，我们可以基于这些来实现token复用：

Content Provider（你关注的）：带权限控制的结构化数据共享
AccountManager：系统级账户管理，更官方的身份共享方案
自定义SDK封装：把复杂逻辑藏起来，让第三方开发者接入更简单

二、具体落地方案

方案1：基于Content Provider的安全共享（适合自定义Auth服务）

这是最灵活的方案，适合你自己掌控Auth服务的场景：

第一步：定义受保护的自定义权限
在你的Auth核心应用（或SDK的宿主应用）的AndroidManifest.xml里声明一个自定义权限，确保只有合法接入的应用能访问：
```
<permission
    android:name="com.your_auth_service.permission.ACCESS_TOKEN"
    android:protectionLevel="normal" />
```
注意：如果用signature级别会要求第三方应用使用你提供的签名证书，对不同开发者来说不太现实，所以用normal级别配合调用方包名白名单校验会更合理。

第二步：实现带身份校验的Content Provider
在Auth应用里写一个继承ContentProvider的类，只暴露获取token的接口，同时校验调用方合法性：

class TokenProvider : ContentProvider() {
    override fun query(
        uri: Uri,
        projection: Array<String>?,
        selection: String?,
        selectionArgs: Array<String>?,
        sortOrder: String?
    ): Cursor? {
        // 获取调用方包名，校验是否在服务端白名单内
        val callingPackage = context?.packageManager?.getNameForUid(callingUid)
        if (!isAppInWhitelist(callingPackage)) {
            throw SecurityException("Unauthorized app access")
        }
        // 从加密存储中获取有效token（比如EncryptedSharedPreferences）
        val validToken = getEncryptedValidToken()
        // 封装成Cursor返回
        val cursor = MatrixCursor(arrayOf("access_token"))
        cursor.addRow(arrayOf(validToken))
        return cursor
    }

    // 实现其他必要方法（insert/update/delete可返回默认值，因为我们只需要查询）
    override fun onCreate(): Boolean = true
    override fun getType(uri: Uri): String? = "vnd.android.cursor.item/vnd.com.your_auth_service.token"
}

然后在Manifest里注册这个Provider并关联权限：

<provider
    android:name=".TokenProvider"
    android:authorities="com.your_auth_service.token_provider"
    android:exported="true"
    android:permission="com.your_auth_service.permission.ACCESS_TOKEN" />

第三步：第三方应用接入
第三方应用需要在Manifest里申请权限：

<uses-permission android:name="com.your_auth_service.permission.ACCESS_TOKEN" />

然后通过ContentResolver查询获取token：

fun getAuthToken(context: Context): String? {
    val uri = Uri.parse("content://com.your_auth_service.token_provider/token")
    context.contentResolver.query(uri, null, null, null, null)?.use { cursor ->
        if (cursor.moveToFirst()) {
            return cursor.getString(cursor.getColumnIndex("access_token"))
        }
    }
    return null
}

方案2：基于AccountManager的系统级方案（更安全、更官方）

Android的AccountManager是系统提供的账户管理框架，适合需要和系统账户体系整合的场景：

第一步：实现AccountAuthenticator
在Auth应用里创建一个AuthenticatorService，继承AbstractAccountAuthenticator，核心是实现getAuthToken方法来返回有效token，同时处理token刷新：

class AuthAuthenticator(context: Context) : AbstractAccountAuthenticator(context) {
    override fun getAuthToken(
        response: AccountAuthenticatorResponse?,
        account: Account?,
        authTokenType: String?,
        options: Bundle?
    ): Bundle {
        // 获取当前token，过期则用refresh token刷新
        var token = getCurrentAccessToken()
        if (isTokenExpired(token)) {
            token = refreshAccessToken()
        }
        val result = Bundle()
        result.putString(AccountManager.KEY_AUTHTOKEN, token)
        return result
    }

    // 实现其他必要方法（比如addAccount处理登录流程）
}

在Manifest里注册服务：

<service
    android:name=".AuthAuthenticatorService"
    android:exported="true">
    <intent-filter>
        <action android:name="android.accounts.AccountAuthenticator" />
    </intent-filter>
    <meta-data
        android:name="android.accounts.AccountAuthenticator"
        android:resource="@xml/authenticator" />
</service>

然后创建res/xml/authenticator.xml定义账户类型：

<account-authenticator xmlns:android="http://schemas.android.com/apk/res/android"
    android:accountType="com.your_auth_service.account"
    android:icon="@mipmap/ic_launcher"
    android:label="@string/auth_account_label" />

第二步：第三方应用获取token
第三方应用需要申请权限（Android 10+需要MANAGE_ACCOUNTS或用Intent方式），然后通过AccountManager获取：

fun getAuthToken(context: Context): String? {
    val accountManager = AccountManager.get(context)
    val accounts = accountManager.getAccountsByType("com.your_auth_service.account")
    if (accounts.isNotEmpty()) {
        val future = accountManager.getAuthToken(
            accounts[0],
            "com.your_auth_service.token_type",
            null,
            false,
            null,
            null
        )
        return try {
            future.result.getString(AccountManager.KEY_AUTHTOKEN)
        } catch (e: Exception) {
            null
        }
    }
    return null
}

方案3：封装SDK简化接入

不管用上面哪种方案，都要把这些逻辑封装成一个Auth SDK，第三方开发者只需要：

集成SDK依赖
初始化SDK（传入应用ID等校验信息）
调用AuthSDK.getInstance().getAccessToken()就能拿到有效token

SDK内部处理：

权限申请的自动处理
token的缓存、刷新
调用方合法性校验
加密存储token的逻辑

三、关键安全注意事项

绝对禁止明文存储token：用Jetpack Security的EncryptedSharedPreferences或者Android Keystore来存储token，防止泄露
严格校验调用方身份：不管用Content Provider还是AccountManager，都要验证调用应用的包名是否在你的服务端白名单里，防止恶意应用窃取token
实现自动刷新机制：用refresh token定期更新access token，避免用户重复登录
避免过度授权：只给第三方应用必要的权限，比如只允许获取token，不允许修改或删除账户信息

为什么你之前看到的方案不完整？

你提到的SharedPrefs默认是应用私有的，旧版本Android的MODE_WORLD_READABLE已经被废弃，极度不安全，所以不能用。而Content Provider的方案需要配合权限控制和身份校验才能真正落地，之前的资料可能只讲了基础用法，没覆盖安全校验和SDK封装的部分。

内容的提问来源于stack exchange，提问作者Ayyappa

跨多开发者发布的Android应用复用同一Auth服务访问令牌的可行性探究

一、核心原理：打破应用沙箱的合法方式 #

二、具体落地方案 #

方案1：基于Content Provider的安全共享（适合自定义Auth服务） #

方案2：基于AccountManager的系统级方案（更安全、更官方） #

方案3：封装SDK简化接入 #

三、关键安全注意事项 #

为什么你之前看到的方案不完整？ #