使用DevicePolicyManager生成AttestedKeyPair遇SecurityException问题求助

报错核心为 java.lang.SecurityException: 无活动的管理员ComponentInfo{com.example.devicepolicy/com.example.devicepolicy.MainActivity}，原因是调用DevicePolicyManager.generateKeyPair()接口时，你的应用未被激活为设备管理员——这类敏感接口仅允许已激活的设备管理员调用。

解决步骤 #

1. 实现DeviceAdminReceiver子类 #

创建继承自DeviceAdminReceiver的广播接收器，用于处理设备管理员的系统回调：

public class MyDeviceAdminReceiver extends DeviceAdminReceiver {
    // 可选：按需重写onEnabled、onDisabled等回调方法
}

2. 在Manifest中注册接收器 #

在AndroidManifest.xml中注册上述接收器，同时声明设备管理员权限与配置元数据：

<receiver
    android:name=".MyDeviceAdminReceiver"
    android:permission="android.permission.BIND_DEVICE_ADMIN">
    <meta-data
        android:name="android.app.device_admin"
        android:resource="@xml/device_admin" />
    <intent-filter>
        <action android:name="android.app.action.DEVICE_ADMIN_ENABLED" />
    </intent-filter>
</receiver>

3. 创建设备管理员权限配置文件 #

在res/xml目录下新建device_admin.xml，定义设备管理员所需权限（至少包含基础权限，或按需添加密钥管理相关权限）：

<device-admin xmlns:android="http://schemas.android.com/apk/res/android">
    <uses-policies>
        <limit-password />
        <watch-login />
        <!-- 可根据需求添加其他设备管理员权限 -->
    </uses-policies>
</device-admin>

4. 引导用户激活设备管理员 #

调用密钥生成接口前，先检查并引导用户激活设备管理员：

DevicePolicyManager dpm = (DevicePolicyManager) getSystemService(Context.DEVICE_POLICY_SERVICE);
ComponentName adminComponent = new ComponentName(this, MyDeviceAdminReceiver.class);

if (!dpm.isAdminActive(adminComponent)) {
    // 启动激活流程
    Intent intent = new Intent(DevicePolicyManager.ACTION_ADD_DEVICE_ADMIN);
    intent.putExtra(DevicePolicyManager.EXTRA_DEVICE_ADMIN, adminComponent);
    intent.putExtra(DevicePolicyManager.EXTRA_ADD_EXPLANATION, "需激活设备管理员以生成安全密钥");
    startActivityForResult(intent, 1001);
} else {
    // 已激活，执行密钥生成逻辑
    generateKeyAndCheckAttestation();
}

5. 处理激活结果 #

在Activity中重写onActivityResult，确认用户激活状态：

@Override
protected void onActivityResult(int requestCode, int resultCode, Intent data) {
    super.onActivityResult(requestCode, resultCode, data);
    if (requestCode == 1001) {
        if (resultCode == RESULT_OK) {
            generateKeyAndCheckAttestation();
        } else {
            Toast.makeText(this, "未激活设备管理员，无法生成密钥", Toast.LENGTH_SHORT).show();
        }
    }
}

关键注意事项 #

• 设备管理员组件必须是DeviceAdminReceiver子类，不能直接使用Activity，这是系统强制要求。
• 设备管理员激活需用户手动确认，无法自动完成，属于Android安全机制。
• 无需额外申请MANAGE_DEVICE_ADMINS权限，绑定接收器的BIND_DEVICE_ADMIN权限已满足要求。

内容的提问来源于stack exchange，提问作者Raghav Bhatia