带System UID的系统应用使用FileProvider打开PDF异常问题

问题根源 #

当应用以System UID运行时，Android安全机制会对其文件访问权限做特殊限制：

• 普通应用依赖的FileProvider跨应用权限授予逻辑，在System UID场景下会失效，Android会严格隔离不同UID进程的文件访问
• System UID应用私有目录的SELinux上下文与普通应用不同，第三方应用进程默认无权限读取该目录下的文件

解决步骤 #

1. 显式授予Uri访问权限

不要仅依赖Intent.FLAG_GRANT_READ_URI_PERMISSION，直接针对目标应用包名授予权限：

// 获取目标应用包名
String targetPackage = getPackageManager().resolveActivity(intent, 0).packageName;
// 生成FileProvider Uri
Uri pdfUri = FileProvider.getUriForFile(this, "com.your.package.fileprovider", pdfFile);
// 显式授予读权限
grantUriPermission(targetPackage, pdfUri, Intent.FLAG_GRANT_READ_URI_PERMISSION);
// 启动第三方应用
intent.setDataAndType(pdfUri, "application/pdf");
startActivity(intent);

2. 调整SELinux策略（系统应用专属）

若文件存储在应用私有目录，需添加SELinux规则允许第三方应用进程访问该目录：

• 在设备SELinux策略文件中添加规则（需root权限或系统编译时配置）：

allow untrusted_app your_app_file_context:file read;

其中your_app_file_context为应用私有目录对应的SELinux上下文标签，可通过ls -Z命令查看。

3. 改用公共存储路径存储PDF

将PDF文件复制到外部存储的应用专属公共目录，规避私有目录的权限限制：

File publicPdfFile = new File(getExternalFilesDir(Environment.DIRECTORY_DOCUMENTS), "target.pdf");
// 复制私有目录PDF到公共目录
copyFile(privatePdfFile, publicPdfFile);
// 生成Uri并启动应用
Uri pdfUri = FileProvider.getUriForFile(this, "com.your.package.fileprovider", publicPdfFile);
intent.setDataAndType(pdfUri, "application/pdf");
intent.addFlags(Intent.FLAG_GRANT_READ_URI_PERMISSION);
startActivity(intent);

4. 验证FileProvider配置正确性

确保res/xml/file_paths.xml中的路径配置与实际文件路径匹配：

<paths>
    <files-path name="pdfs" path="pdf/"/>
    <!-- 使用外部存储时添加对应配置 -->
    <external-files-path name="public_pdfs" path="Documents/"/>
</paths>

内容的提问来源于stack exchange，提问作者jingxuan wang