使用Play APK Expansion下载代码触发Zip Path Traversal告警求助

问题本质 #

你碰到的是静态代码扫描工具的误报：虽然你既没有主动执行解压操作，代码里也完全没有decompress相关逻辑，但扫描工具检测到了APK扩展下载库内置的com.android.vending.expansion.downloader.R$string.decompress字符串标识，就误判存在Zip路径遍历风险。这类告警是扫描工具对第三方库深度检测时的过度匹配，和你的业务代码安全无关。

有效解决思路 #

1. 给扫描工具加规则排除 #

针对触发告警的特定标识，在你的静态扫描工具（比如Android Lint、SonarQube、FindBugs等）里添加排除规则，忽略这个误报：

• 以Android Lint为例，在项目根目录的lint.xml中添加：

  <lint>
      <issue id="ZipPathTraversal">
          <ignore path="**/com/google/android/vending/expansion/downloader/R$string.class" />
      </issue>
  </lint>
  

• 如果是SonarQube，在sonar-project.properties里配置对应规则的排除项，指定忽略该库的R类文件。

2. 替换为自研下载逻辑 #

这个Google的APK扩展库已经归档停止维护了，你可以自己实现轻量的下载逻辑：

• 通过Google Play扩展文件API拿到下载链接，用OkHttp、Retrofit这类成熟网络库直接下载文件，完全不依赖旧版扩展库，从根源上避免这类误报。

3. 反馈误报给扫描工具方 #

如果是商用或开源扫描工具，你可以提交误报反馈，说明该字符串只是库中的资源标识，不存在实际解压行为，推动工具方更新规则，减少后续误判。

关于之前尝试的方案无效的原因 #

你之前试的方案是针对主动执行解压操作的场景设计的，而你的问题是工具误判，所以自然起不到作用，得从规则排除或替换依赖的角度入手。

内容的提问来源于stack exchange，提问作者صلي علي محمد - Atef Farouk